Zcash Foundation、記録的な6億5,100万ドルのハック月後のコンセンサス重大バグを修正

本日2026年5月2日、Zcash FoundationはZebra 4.4.0をリリースし、ネットワークのコンセンサスを分断する可能性があった複数のセキュリティ欠陥を修正したため、すべてのノード運用者に直ちにアップグレードを促している。

今回のパッチは、4月が 暗号資産の脆弱性攻撃において 過去最悪の月として幕を閉じる中でのものとなった。ブロックチェーンセキュリティ企業CertiKは、業界全体で約6億5,100万ドルの総損失を確認した。

Zebra 4.4.0はどのようなZcashの欠陥を修正するのか？

今回のアップデートは Zcash Foundationによって構築されたRustベースのZcashノード実装であるZebraにおける5つの個別の脆弱性を解決する。このうち3つのバグはコンセンサスに重大な影響を与えるもので、攻撃者がこれらを悪用してZebraノードに、従来のzcashdクライアントが拒否するトランザクションを受け入れさせ、ネットワークを分断させる可能性があった。

最も深刻な問題（GHSA-28xj-328h-72vm）は、リモートハッカーが単一の接続でノードの新しいブロック発見を永久に停止させることを可能にした。この攻撃は、Zebraが情報を共有およびダウンロードする方法における3つの弱点を組み合わせたものだった。 

Zcash Foundationの通知によると、この脆弱性は「ゼロの不正行為スコア、ゼロのBAN、ゼロの切断」を生み出したため、標準的な監視ツールからは見えないものとなった。

2つ目のバグ（GHSA-jv4h-j224-23cc）もまた、Zebraがトランザクションブロック内の署名の数をカウントできなくさせた（通常、20,000シグオプのブロック制限未満しかカウントしない）。

おそらく、Zebraのシステムはブロック検証中に2つの特定の種類のスクリプト（コインベース入力のscriptSig、およびP2SH署名）を無視していた。このため、攻撃者は両方の隙間を悪用したブロックを作成し、Zebraのチェックは通過するがzcashdでは失敗し、チェーンの分断を引き起こすことができた。

3つ目の主要な問題（GHSA-gq4h-3grw-2rhv）は、以前のsighashの修正により、ZebraのC++ FFI（外部関数インターフェース） across で読み取り可能な一時記憶領域（バッファ）に古いデータが残ったことが原因で発生した。 

そのため、攻撃者は有効な署名を使用してバッファを正しい情報で埋め、次に無効なハッシュタイプを持つ2つ目のトランザクションを送信し、残ったデータに基づいて検証を通過させることができた。 

これを解決するため、Foundationはチェックが失敗した場合にバッファにランダムなバイトを散りばめる一時的な修正を適用し、恒久的な修正が展開されるまでシステムが古い情報を再利用しないようにした。

最後の2つのバグは、システムの他の部分間で不一致を引き起こした。1つのバグは、メッセージの読み取り時に過剰なメモリを使用させることでネットワークを過負荷にした（GHSA-438q-jx8f-cccv）。もう1つは、Zebraが特定のトランザクションを検証する方法における軽微なコーディングの相違点だった（GHSA-cwfq-rfcr-8hmp）。

Foundationは後者の問題は実用的には悪用できないと指摘したが、zcashdの動作に合わせるためにパッチを適用した。セキュリティ研究者のSangsoo-osecが、5つの問題のうち3つの発見にクレジットされた。

今回のリリースは、より良い時期に行うことができたのだろうか？

によると で取引されており、市場価値は約$⟦N1⟧億である。、2026年4月は、インシデント数において暗号資産史上最多のハック月となり、推定28〜30の個別の攻撃を受けた。CertiKの , David SacksはKimi-K3の台頭について懸念を表明し、この結果は「懸念される」と述べた。彼は、この結果を政治家や役人、より正確には新しいデータセンターの構築を制限することで米国のAIモデルにダメージを与えていることに関連付けた。 4月30日時点の報告では、総損失は約6億5,100万ドルに達し、2025年2月のBybit侵害を除けば2022年3月以来最高となった。

被害の大部分を占めたのは2つのインシデントだった。4月1日、Drift Protocolは北朝鮮のラザラスグループに関連するソーシャルエンジニアリング攻撃により約2億8,500万ドルを損失した。4月18日までに、KelpDAOもLayerZeroのクロスチェーンブリッジを対象としたメッセージ偽装攻撃により2億9,300万ドルの被害を受けた。 Nvidiaはまた、自社のグラフィックスプロセッシングユニット（GPU）を所有する人々と、北欧諸国、米国、アジアのデータセンター運営者を結びつけている。. 

注目すべきは、4月の攻撃のいずれもZcashを直接標的としていなかったことだ。しかし、チェーン全体での攻撃の膨大な量は、そのFoundationがZebraのアップデートを「重要」としてラベル付けし、直ちに採用を推進した理由を反映している。

Zcashノード運用者が取るべき措置

Foundationは、今回のリリースがセキュリティ修正以外に他の重要な変更をもたらさないため、すべての運用者にZebra 4.4.0への直ちにアップグレードを助言している。 

古いバージョンを実行しているノード運用者は、単一の悪意のある接続で実行可能なブロック発見の停止を含む、すべての5つの脆弱性にさらされたままとなる。

ZEC $377.46で取引 執筆時点でのCoinMarketCapによると、時価総額は62億8,000万ドルである。