ZachXBT segnala un difetto di privacy nell'integrazione di Zashi Wallet con NEAR Intents

L'investigatore blockchain ZachXBT ha scoperto una vulnerabilità di privacy nell'integrazione del portafoglio Zashi con il protocollo di transazioni cross-chain NEAR Intents. Il ricercatore indipendente ha scritto un thread su martedì dicendo che ha testato il sistema per trovare "difetti di progettazione che poteva abusare", durante le sue indagini per attori fraudolenti.

Zashi è un portafoglio crypto self-custody sviluppato da Electric Coin Co., il team dietro Zcash (ZEC), una criptovaluta orientata alla privacy lanciata nel 2016. Il portafoglio consente agli utenti di inviare, ricevere e spendere ZEC mantenendo la loro attività finanziaria nascosta da intermediari, corporation o sorveglianza governativa.

ZachXBT ha scritto su come ha testato l'integrazione di Zashi con NEAR Intents a causa dell'"hype recente", chiedendosi se mantenesse lo stesso livello di anonimismo che gli utenti di Zcash si aspettano dalle transizioni schermate.

L'investigatore identifica un difetto di privacy nello spostamento di SOL a Zcash

Nel suo esperimento, ZachXBT ha bridgeato 1 SOL da Solana a Zcash utilizzando NEAR Intents nel portafoglio Zashi. Ha poi schermato i fondi per la privacy dopo aver confermato sia le transazioni di origine che di destinazione. 

Il detective della sicurezza blockchain ha quindi utilizzato la funzione "CrossPay" di Zashi, che consente agli utenti di spendere ZEC schermato e inviare un valore equivalente in un'altra crypto, per finanziare un indirizzo Ethereum con 0,005 ETH.

3/ Ora diciamo che voglio finanziare in modo anonimo un indirizzo ETH dal mio wallet Zashi utilizzando i miei ZEC blindati, quindi uso la funzione "Crosspay" tramite Near Intents per ricevere 0,005 ETH al seguente indirizzo:

0x6dda3649f19191a9df465f4010019f2f59c34bc4 pic.twitter.com/5cMDG83MN9

— ZachXBT (@zachxbt) Ottobre 21, 2025

Mentre il trasferimento principale è stato completato dopo diversi minuti, ZachXBT ha scoperto una transazione di rimborso inaspettata di 0,001598 ZEC inviata allo stesso indirizzo trasparente da cui aveva originariamente blindato i fondi. 

Secondo il ben noto investigatore della sicurezza crypto, il rimborso automatico ha creato un collegamento visibile tra i suoi indirizzi blindati e non blindati, minando la privacy che il sistema blindato di Zcash dovrebbe proteggere.

La transazione di rimborso era pubblicamente tracciabile sulla blockchain di Zcash e avrebbe potuto consentire a chiunque di abbinare tempistiche e importi tra il sistema NEAR Intents e il rimborso stesso. 

"Qualcuno può semplicemente abbinare tempistiche e importi dall'indirizzo Near Intents e identificare le transazioni di rimborso ZEC, consentendo a qualcuno di deanonimizzare il tuo indirizzo t da cui hai inizialmente blindato ZEC poiché è statico e i rimborsi non sono blindati", ha concluso ZachXBT.

Zashi Wallet promette aggiornamenti per risolvere il problema della tracciabilità

Il ricercatore di sicurezza Web3 ha rivelato che la falla derivava dal modo in cui NEAR Intents gestisce i rimborsi per le transazioni cross-chain. Nel suo esempio, l'indirizzo Zcash di Near Intents utilizzato era pubblicamente visibile, il che significava che le transazioni di rimborso venivano elaborate in modo trasparente piuttosto che all'interno del pool blindato di Zcash. 

Poiché l'integrazione di Zashi riutilizza lo stesso indirizzo trasparente per i rimborsi, il collegamento diventa evidente per gli analisti on-chain.

Dopo aver identificato la falla, ZachXBT ha dichiarato di aver contattato il team di sviluppo di Zashi, che ha riconosciuto il problema e ha confermato i piani per introdurre indirizzi effimeri. 

Questi indirizzi di portafoglio temporanei scompariranno dopo ogni transazione per ridurre la tracciabilità, se l'aggiornamento verrà implementato come previsto. Hanno anche dichiarato che i rimborsi blindati saranno inclusi in NEAR Intents in un futuro aggiornamento.

Nonostante il difetto, ZachXBT ha definito Zashi un'"esperienza di portafoglio piacevole per la privacy", notando che risolve diversi problemi di interfaccia utente ed esperienza che aveva riscontrato con Monero, un'altra privacy coin.

"Sto considerando di offrire un servizio per trader individuali o fondi boutique che desiderano anonimizzare le loro attività", ha detto, aggiungendo che le parti interessate potevano contattarlo direttamente per una collaborazione.

Quando un follower gli ha detto che la sua idea è simile a quella dei consulenti di cybersecurity assunti per violare sistemi sicuri e identificare le debolezze, ZachXBT ha concordato. 

Il volume totale di NEAR Intents protocol raggiunge $2 miliardi

NEAR Intents sta sperimentando un aumento dell'attività degli utenti e del volume delle transazioni che ha ora superato i 2 miliardi di dollari, secondo i dati di Dune Analytics.

Il volume giornaliero della blockchain per mese sul sistema basato su intent è aumentato del 379%, con il numero di utenti che ha superato le 457.000 unità dal 21 settembre. 

NEAR Intents è un protocollo di transazioni multichain che automatizza le azioni cross-chain attraverso un meccanismo basato su intent. Invece di fare manualmente bridge o scambiare token, gli utenti o gli agenti AI che agiscono per loro conto trasmettono il risultato desiderato, come lo scambio di un token con un altro.

Nelle ultime 24 ore, gli utenti hanno effettuato transazioni di token per un valore di 65 milioni di dollari, con ZEC che rappresenta il 10% del totale complessivo. Il wallet supporta attualmente due funzionalità attive, Zashi Swaps e CrossPay, lanciate all'inizio di questo mese.