La Fondazione Zcash corregge bug critici per il consenso dopo un mese di hack record da 651 milioni di dollari
- La Fondazione Zcash ha rilasciato Zebra 4.4.0 per risolvere cinque vulnerabilità, tra cui tre bug “critici per il consenso” che avrebbero potuto causare la scissione della rete.
- Il difetto più grave permetteva a un hacker remoto di utilizzare una singola connessione per bloccare permanentemente un nodo dall'individuazione di nuovi blocchi.
- Ad aprile 2026 si sono registrati circa 651 milioni di dollari di perdite totali nel settore, dovute a 28-30 attacchi distinti.
Oggi, 2 maggio 2026, la Fondazione Zcash ha appena rilasciato Zebra 4.4.0, esortando tutti gli operatori di nodi ad aggiornare immediatamente dopo aver corretto più vulnerabilità di sicurezza, incluse diverse che avrebbero potuto dividere il consenso della rete.
La patch arriva mentre aprile si chiude come il peggiore mese per gli exploit crittografici finora. La società di sicurezza blockchain CertiK ha confermato circa 651 milioni di dollari di perdite totali in tutto il settore.
Che tipo di difetti di Zcash corregge Zebra 4.4.0?
L'aggiornamento risolve cinque vulnerabilità separate in Zebra, l'implementazione del nodo Zcash basata su Rust costruita dalla Fondazione Zcash. Tre dei bug sono critici per il consenso, il che significa che gli attaccanti avrebbero potuto sfruttarli e far accettare ai nodi Zebra transazioni che i client legacy zcashd avrebbero rifiutato, dividendo così la rete.
Il problema più grave (GHSA-28xj-328h-72vm) ha permesso a un hacker remoto di fermare permanentemente un nodo dallo scoprire nuovi blocchi con una sola connessione. L'attacco combinava tre debolezze nel modo in cui Zebra condivideva e scaricava informazioni.
Secondo l'avviso della Fondazione Zcash, l'exploit "ha prodotto zero punteggio di cattiva condotta, zero ban e zero disconnessioni", rendendolo così invisibile agli strumenti di monitoraggio standard.
Un secondo bug (GHSA-jv4h-j224-23cc) ha anche fatto sì che Zebra perdesse il conto di quante firme fossero contenute in un blocco di transazioni (solitamente ne contava meno del limite di 20.000 sigop per blocco).
A quanto pare, il sistema di Zebra ignorava due tipi specifici di script (lo scriptSig dell'input Coinbase e le firme P2SH) durante la validazione dei blocchi. A causa di ciò, un attaccante avrebbe potuto creare un blocco che sfruttava entrambe le lacune, superando i controlli di Zebra ma fallendo su zcashd e creando una scissione della catena.
Il terzo problema maggiore (GHSA-gq4h-3grw-2rhv) è avvenuto a causa di una precedente correzione del sighash che ha lasciato dati obsoleti in un'area di memoria temporanea (buffer) leggibile attraverso l'interfaccia C++ di Zebra.
Di conseguenza, un attaccante avrebbe potuto sfruttare questa vulnerabilità utilizzando una firma valida per riempire il buffer con informazioni corrette, per poi inviare una seconda transazione con un tipo di hash non valido che sarebbe passata la verifica basandosi sui dati residui.
Per risolvere il problema, la Fondazione ha applicato una correzione temporanea che disperde il buffer con byte casuali se un controllo fallisce, impedendo così al sistema di riutilizzare vecchie informazioni fino al rilascio di una correzione permanente.
Gli ultimi due bug hanno causato disaccordi tra altre parti del sistema. Un bug ha sovraccaricato la rete facendole usare troppa memoria durante la lettura dei messaggi (GHSA-438q-jx8f-cccv). L'altro era una lieve discrepanza di codifica nel modo in cui Zebra verificava determinate transazioni (GHSA-cwfq-rfcr-8hmp).
La Fondazione ha notato che quest'ultimo non era praticamente sfruttabile, ma ha comunque proceduto a patcharlo per allinearsi al comportamento di zcashd. Il ricercatore di sicurezza Sangsoo-osec è stato accreditato per la scoperta di tre delle cinque vulnerabilità.
La release avrebbe potuto avvenire in un momento migliore?
Secondo DeFiLlama, aprile 2026 è stato il mese più hackerato nella storia delle criptovalute (per numero di incidenti), subendo un stimato di 28-30 attacchi separati. CertiK's Post su X il 30 aprile ha stimato le perdite totali a circa 651 milioni di dollari, il massimo da marzo 2022, escludendo la violazione di Bybit avvenuta nel febbraio 2025.
Due incidenti sono stati responsabili della maggior parte dei danni. Il 1° aprile, Drift Protocol ha perso circa 285 milioni di dollari in un'operazione di ingegneria sociale legata al gruppo Lazarus della Corea del Nord. Entro il 18 aprile, KelpDAO aveva subito la propria violazione da spoofing di messaggi per 293 milioni di dollari che mirava a un bridge cross-chain LayerZero, secondo Cryptopolitan.
Nessuno degli exploit di aprile ha preso di mira direttamente Zcash. Tuttavia, l'enorme volume di attacchi attraverso le catene riflette il motivo per cui la sua Fondazione ha etichettato l'aggiornamento di Zebra come "critico" e ha spinto per un'adozione immediata.
Cosa dovrebbero fare gli operatori di nodi Zcash
La Fondazione consiglia a tutti gli operatori di effettuare l'aggiornamento a Zebra 4.4.0 immediatamente, poiché la release non introduce altri cambiamenti significativi oltre alle correzioni di sicurezza.
Gli operatori di nodi che eseguono versioni precedenti rimangono esposti a tutte e cinque le vulnerabilità, inclusa l'interruzione della scoperta dei blocchi che richiede solo una singola connessione malevola per essere eseguita.
ZEC veniva scambiata a $377.46 al momento della scrittura, secondo CoinMarketCap, con una capitalizzazione di mercato di 6,28 miliardi di dollari.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
