ZachXBT sinaliza falha de privacidade na integração da carteira Zashi com NEAR Intents
- O investigador de blockchain ZachXBT descobre uma falha de privacidade na integração NEAR Intents da Zashi Wallet, revelando como transações de reembolso podem desanonimizar usuários.
- A Electric Coin Co., desenvolvedora por trás do Zcash, confirma planos de adicionar endereços efêmeros e reembolsos blindados para corrigir o problema.
- O relatório surge enquanto a NEAR Intents vê uma atividade em ascensão, processando quase US$ 800 milhões em trocas e pagamentos no último mês.
O investigador de blockchain ZachXBT descobriu uma vulnerabilidade de privacidade na integração da carteira Zashi com o protocolo de transações cross-chain NEAR Intents. O investigador independente escreveu uma thread no X na terça-feira dizendo que testou o sistema para encontrar "falhas de design que poderia abusar", durante as suas investigações para atores fraudulentos.
A Zashi é uma carteira de criptomoedas de auto-custódia desenvolvida pela Electric Coin Co., a equipa por trás do Zcash (ZEC), uma criptomoeda orientada para a privacidade lançada em 2016. A carteira permite aos utilizadores enviar, receber e gastar ZEC, mantendo a sua atividade financeira oculta de intermediários, corporações ou vigilância governamental.
ZachXBT escreveu sobre como testou a integração da Zashi com o NEAR Intents devido ao "hype recente", questionando se mantinha o mesmo nível de anonimato que os utilizadores de Zcash esperam das transações blindadas.
Investigador identifica falha de privacidade ao mover SOL para Zcash
No seu experimento, ZachXBT pontou 1 SOL de Solana para Zcash usando NEAR Intents para a carteira Zashi. Em seguida, blindou os fundos para privacidade após confirmar as transações de origem e destino.
O detetive de segurança blockchain usou então a funcionalidade "CrossPay" da Zashi, que permite aos utilizadores gastar ZEC blindado e enviar valor equivalente noutra criptomoeda, para financiar um endereço Ethereum com 0,005 ETH.
3/ Agora digamos que quero financiar anonimamente um endereço ETH da minha carteira Zashi com o meu ZEC blindado, então uso a funcionalidade "Crosspay" via Near Intents para receber 0,005 ETH para o seguinte endereço:
— ZachXBT (@zachxbt) 21 de Outubro de 2025
0x6dda3649f19191a9df465f4010019f2f59c34bc4 pic.twitter.com/5cMDG83MN9
Enquanto a transferência principal foi concluída após vários minutos, ZachXBT descobriu uma transação de reembolso inesperada de 0,001598 ZEC enviada para o mesmo endereço transparente do qual ele tinha originalmente blindado os fundos.
De acordo com o bem conhecido investigador de segurança cripto, o reembolso automático criou um link visível entre os seus endereços blindados e não blindados, minando a privacidade que o sistema blindado do Zcash se destina a proteger.
A transação de reembolso era publicamente rastreável na blockchain Zcash e poderia ter permitido que qualquer pessoa correspondesse o tempo e os valores entre o sistema NEAR Intents e o próprio reembolso.
"Alguém pode simplesmente combinar o tempo/valores do endereço Near Intents e identificar as txns de reembolso ZEC, permitindo que alguém desanonimize o seu endereço t do qual inicialmente blindou ZEC, já que é estático e os reembolsos não são blindados", resumiu ZachXBT.
Carteira Zashi promete atualizações para resolver o problema de rastreabilidade
O investigador de segurança Web3 revelou que a falha veio da forma como o NEAR Intents lida com reembolsos para transações cross-chain. No seu exemplo, o endereço Zcash Near Intents usado era publicamente visível, o que significava que as transações de reembolso eram processadas de forma transparente em vez de dentro do pool blindado do Zcash.
Como a integração da Zashi reutiliza o mesmo endereço transparente para reembolsos, a ligação torna-se óbvia para os analistas on-chain.
Após identificar a falha, ZachXBT disse que contactou a equipa de desenvolvimento da Zashi, que reconheceu o problema e confirmou planos para introduzir endereços efêmeros.
Estes endereços de carteira temporários desaparecerão após cada transação para reduzir a rastreabilidade, se a atualização for implementada como pretendido. Eles também lhe disseram que os reembolsos blindados serão incluídos no NEAR Intents numa atualização futura.
Apesar da falha, ZachXBT apelidou a Zashi de "experiência de carteira agradável para privacidade", notando que corrige vários problemas de interface e experiência do utilizador que encontrou com a Monero, outra moeda de privacidade.
"Estou a considerar oferecer um serviço para traders individuais ou fundos boutique que procuram anonimizar a sua atividade", disse, acrescentando que as partes interessadas poderiam contactá-lo diretamente para uma colaboração.
Quando um seguidor lhe disse que a sua ideia é semelhante à forma como os consultores de cibersegurança são contratados para violar sistemas seguros para identificar fraquezas, ZachXBT concordou.
O volume total histórico do protocolo NEAR Intents atinge $2 mil milhões
O NEAR Intents está a registar um aumento na atividade de utilizadores e no volume de transações, que agora ultrapassou $2 mil milhões, de acordo com dados da Dune Analytics.
O volume diário da blockchain por mês no sistema baseado em intenções aumentou 379%, com o número de utilizadores a ultrapassar 457.000 desde 21 de setembro.
O NEAR Intents é um protocolo de transações multichain que automatiza ações cross-chain através de um mecanismo baseado em intenções. Em vez de pontar ou trocar tokens manualmente, os utilizadores ou agentes de IA que atuam em seu nome transmitem o seu resultado desejado, como trocar um token por outro.
Nas últimas 24 horas, os utilizadores realizaram transações de tokens no valor de $65 milhões, com ZEC representando 10% do total geral. A carteira suporta atualmente duas funcionalidades ativas, Zashi Swaps e CrossPay, que entraram em funcionamento no início deste mês.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
