ZachXBT выявил уязвимость конфиденциальности в интеграции кошелька Zashi с NEAR Intents

Блокчейн-исследователь ZachXBT обнаружил уязвимость конфиденциальности в интеграции кошелька Zashi с кросс-чейн протоколом транзакций NEAR Intents. Независимый исследователь во вторник опубликовал тред в X, в котором сообщил, что протестировал систему, чтобы найти «уязвимости в дизайне, которые можно использовать в злонамеренных целях», в ходе своих расследований действий мошенников.

Zashi — это криптокошелек с самокастодиальным хранением, разработанный командой Electric Coin Co., стоящей за Zcash (ZEC), криптовалютой, ориентированной на конфиденциальность, запущенной в 2016 году. Кошелек позволяет пользователям отправлять, получать и тратить ZEC, скрывая свою финансовую деятельность от посредников, корпораций или государственного надзора.

ZachXBT написал о том, как он протестировал интеграцию Zashi с NEAR Intents из-за «недавнего ажиотажа», задаваясь вопросом, сохраняет ли она тот же уровень анонимности, которого ожидают пользователи Zcash от защищенных транзакций.

Исследователь выявил уязвимость конфиденциальности при переводе SOL в Zcash

В ходе своего эксперимента ZachXBT перевел 1 SOL из сети Solana в Zcash с использованием NEAR Intents в кошелек Zashi. Затем он защитил средства для обеспечения конфиденциальности после подтверждения транзакций как на стороне отправителя, так и на стороне получателя. 

Затем исследователь безопасности блокчейна использовал функцию Zashi «CrossPay», которая позволяет пользователям тратить защищенные ZEC и отправлять эквивалентную стоимость в другой криптовалюте, для финансирования адреса Ethereum на сумму 0,005 ETH.

3/ Теперь предположим, что я хочу анонимно профинансировать адрес ETH из моего кошелька Zashi с помощью моих защищенных ZEC, поэтому я использую функцию «Crosspay» через Near Intents, чтобы получить 0,005 ETH на следующий адрес:

0x6dda3649f19191a9df465f4010019f2f59c34bc4 pic.twitter.com/5cMDG83MN9

— ZachXBT (@zachxbt) 21 октября 2025

Хотя основная транзакция завершилась через несколько минут, ZachXBT обнаружил неожиданную транзакцию возврата на сумму 0,001598 ZEC, отправленную на тот же прозрачный адрес, с которого изначально были защищены средства. 

По словам известного исследователя безопасности в сфере криптовалют, автоматический возврат создал видимую связь между его защищенными и незащищенными адресами, что подрывает конфиденциальность, которую должна обеспечивать защищенная система Zcash.

Транзакция возврата была публично отслеживаема в блокчейне Zcash и могла позволить любому сопоставить время и суммы между системой NEAR Intents и самим возвратом. 

«Кто-то может просто сопоставить время/суммы с адреса Near Intents и идентифицировать транзакции возврата ZEC, что позволит кому-то деанонимизировать ваш t-адрес, из которого вы изначально защитили ZEC, поскольку он статичен, а возвраты не защищены», — предположил ZachXBT.

Кошелек Zashi обещает обновления для решения проблемы отслеживаемости

Исследователь безопасности Web3 раскрыл, что уязвимость возникла из-за того, как NEAR Intents обрабатывает возвраты для кросс-чейн транзакций. В его примере адрес Zcash в сети Near Intents был публично виден, что означало, что транзакции возврата обрабатывались прозрачно, а не внутри защищенного пула Zcash. 

Поскольку интеграция Zashi повторно использует тот же прозрачный адрес для возвратов, связь становится очевидной для аналитиков блокчейна.

После выявления уязвимости ZachXBT сообщил, что связался с командой разработчиков Zashi, которые признали проблему и подтвердили планы по внедрению эфемерных адресов. 

Эти временные адреса кошельков будут исчезать после каждой транзакции, чтобы снизить возможность отслеживания, если обновление будет реализовано как задумано. Они также сообщили ему, что защищенные возвраты будут включены в NEAR Intents в будущем обновлении.

Несмотря на этот недостаток, ZachXBT назвал Zashi «приятным опытом использования кошелька для обеспечения конфиденциальности», отметив, что он исправляет несколько проблем с пользовательским интерфейсом и опытом использования, с которыми он сталкивался в Monero, другой криптовалюте для обеспечения конфиденциальности.

«Я рассматриваю возможность предоставления услуги для индивидуальных трейдеров или небольших фондов, стремящихся анонимизировать свою деятельность», — сказал он, добавив, что заинтересованные стороны могут связаться с ним напрямую для сотрудничества.

Когда один из подписчиков сказал ему, что его идея похожа на то, как работают консультанты по кибербезопасности, которых нанимают для взлома защищенных систем с целью выявления уязвимостей, ZachXBT согласился. 

Общий объем транзакций протокола NEAR Intents достиг $2 млрд

Согласно данным из Dune Analytics, активность пользователей и объем транзакций в NEAR Intents выросли и теперь превысили $2 млрд.

Ежедневный объем транзакций в блокчейне по месяцам в системе на основе намерений увеличился на 379 %, а количество пользователей превысило 457 000 с 21 сентября. 

NEAR Intents — это мультичейн протокол транзакций, который автоматизирует кросс-чейн действия с помощью механизма на основе намерений. Вместо ручного мостового перевода или обмена токенов пользователи или ИИ-агенты, действующие от их имени, транслируют желаемый результат, например, обмен одного токена на другой.

За последние 24 часа пользователи совершили токеновых транзакций на сумму $65 млн, при этом ZEC составляла 10 % от общей суммы. В настоящее время кошелек поддерживает две активные функции: Zashi Swaps и CrossPay, которые стали доступны в начале этого месяца.