Fundação Zcash corrige bugs críticos de consenso após mês de hackeamento recorde de $651 milhões

Hoje, 2 de maio de 2026, a Fundação Zcash acabou de lançar o Zebra 4.4.0, instando todos os operadores de nós a atualizarem imediatamente após corrigir várias falhas de segurança, incluindo várias que poderiam ter dividido o consenso da rede.

O patch chega enquanto abril se encerra como o pior mês para exploits de criptomoedas até agora. A empresa de segurança blockchain CertiK confirmou cerca de $651 milhões em perdas totais em toda a indústria.

Que tipo de falhas do Zcash o Zebra 4.4.0 corrige?

A atualização resolve cinco vulnerabilidades separadas no Zebra, a implementação de nó Zcash baseada em Rust construída pela Fundação Zcash. Três dos bugs são críticos para o consenso, o que significa que os atacantes poderiam explorá-los e fazer com que os nós Zebra aceitassem transações que os clientes zcashd legitos rejeitariam, dividindo assim a rede.

O problema mais grave (GHSA-28xj-328h-72vm) permitia que um hacker remoto parasse permanentemente um nó de descobrir novos blocos com apenas uma conexão. O ataque combinou três fraquezas na forma como o Zebra compartilhava e baixava informações. 

De acordo com o aviso da Fundação Zcash, o exploit “produziu pontuação de má conduta zero, banimentos zero e desconexões zero”, tornando-o invisível para ferramentas de monitoramento padrão.

Um segundo bug (GHSA-jv4h-j224-23cc) também fez o Zebra perder a contagem de quantas assinaturas havia dentro de um bloco de transações (geralmente contaria menos do que o limite de 20.000 sigops de bloco).

Aparentemente, o sistema do Zebra ignorou dois tipos específicos de scripts (o scriptSig da entrada Coinbase e as assinaturas P2SH) durante a validação do bloco. Por causa disso, um atacante poderia criar um bloco explorando ambas as lacunas, passando pelas verificações do Zebra, mas falhando no zcashd e criando uma divisão na cadeia.

O terceiro problema principal (GHSA-gq4h-3grw-2rhv) ocorreu devido a uma correção anterior de sighash que deixou dados obsoletos em uma área de armazenamento temporário (buffer) legível através da interface de função estrangeira C++ do Zebra. 

Como tal, um atacante poderia explorar isso usando uma assinatura válida para preencher o buffer com informações corretas e, em seguida, enviar uma segunda transação com um tipo de hash inválido que passaria pela verificação com base nos dados restantes. 

Para resolver isso, a Fundação aplicou uma correção temporária que espalha o buffer com bytes aleatórios se uma verificação falhar, impedindo assim que o sistema reutilize informações antigas até que uma correção permanente seja implantada.

Os dois últimos bugs causaram desacordos entre outras partes do sistema. Um bug sobrecarregou a rede fazendo com que usasse muita memória ao ler mensagens (GHSA-438q-jx8f-cccv). O outro foi uma discrepância de codificação menor na forma como o Zebra verificava certas transações (GHSA-cwfq-rfcr-8hmp).

A Fundação observou que o último não era explorável na prática, mas mesmo assim procedeu com o patch para corresponder ao comportamento do zcashd. O pesquisador de segurança Sangsoo-osec foi creditado por descobrir três das cinco questões.

A liberação poderia ter ocorrido em um momento melhor?

De acordo com DeFiLlama, abril de 2026 foi o mês mais hackeado na história das criptomoedas (pelo número de incidentes), sofrendo um estimado de 28 a 30 ataques separados. A Post no X CertiK em 30 de abril colocou as perdas totais em aproximadamente $651 milhões, o mais alto desde março de 2022, excluindo a violação da Bybit em fevereiro de 2025.

Dois incidentes foram responsáveis pela maior parte dos danos. Em 1º de abril, o Drift Protocol perdeu cerca de $285 milhões em uma operação de engenharia social ligada ao Grupo Lazarus da Coreia do Norte. Em 18 de abril, a KelpDAO sofreu seu próprio exploit de spoofing de mensagens no valor de $293 milhões, direcionado a uma ponte cross-chain LayerZero, de acordo com a Cryptopolitan. 

Notavelmente, nenhum dos exploits de abril visou diretamente o Zcash. Mas o volume enorme de ataques em várias cadeias reflete por que sua Fundação escolheu rotular a atualização do Zebra como “crítica” e pressionar pela adoção imediata.

O que os operadores de nós Zcash devem fazer

A Fundação aconselha todos os operadores a atualizarem para o Zebra 4.4.0 imediatamente, já que o lançamento não introduz outras mudanças significativas além das correções de segurança. 

Os operadores de nós que executam versões mais antigas permanecem expostos a todas as cinco vulnerabilidades, incluindo a parada de descoberta de blocos que requer apenas uma única conexão maliciosa para ser executada.

ZEC negociava a US$ 377.46 no momento da redação, de acordo com a CoinMarketCap, com uma capitalização de mercado de $6,28 bilhões.