Фонд Zcash исправляет критические уязвимости консенсуса после рекордного месяца взломов на $651 млн

Сегодня, 2 мая 2026 года, Фонд Zcash только что выпустил Zebra 4.4.0, призывая всех операторов узлов немедленно обновиться после устранения нескольких уязвимостей безопасности, включая несколько, которые могли привести к разделению консенсуса сети.

Патч выходит в конце апреля, который стал худшим месяцем для криптоэксплойтов на данный момент. Компания по безопасности блокчейна CertiK подтвердила общие потери примерно в 651 миллион долларов по всей отрасли.

Какие именно уязвимости Zcash исправляет Zebra 4.4.0?

Обновление устраняет пять отдельных уязвимостей в Zebra, реализации узла Zcash на языке Rust, разработанной Фондом Zcash. Три из этих ошибок являются критическими для консенсуса, что означает, что злоумышленники могли бы эксплуатировать их и заставить узлы Zebra принимать транзакции, которые старые клиенты zcashd отклонили бы, тем самым разделив сеть.

Самая серьезная проблема (GHSA-28xj-328h-72vm) позволяла удаленному хакеру навсегда остановить узел от обнаружения новых блоков всего одним подключением. Атака сочетала в себе три слабости в том, как Zebra обменивалась и загружала информацию. 

Согласно уведомлению Фонда Zcash, эксплойт «не генерировал нулевой счетчик плохого поведения, нулевые баны и нулевые отключения», что делало его невидимым для стандартных инструментов мониторинга.

Вторая ошибка (GHSA-jv4h-j224-23cc) также заставляла Zebra терять подсчет количества подписей внутри блока транзакций (обычно он считал меньше, чем лимит блока в 20 000 сиг-опов).

По-видимому, система Zebra игнорировала два конкретных типа скриптов (scriptSig входа Coinbase и подписи P2SH) во время проверки блока. Из-за этого злоумышленник мог создать блок, эксплуатирующий оба пробела, проходя проверки Zebra, но терпя неудачу на zcashd и создавая разветвление цепи.

Третья крупная проблема (GHSA-gq4h-3grw-2rhv) возникла из-за предыдущего исправления sighash, которое оставило устаревшие данные в временной области хранения (буфере), доступной через C++ foreign function interface Zebra. 

Таким образом, злоумышленник мог воспользоваться этим, используя действительную подпись для заполнения буфера корректной информацией, а затем отправив вторую транзакцию с недействительным типом хеша, которая прошла бы проверку на основе оставшихся данных. 

Для решения этой проблемы Фонд применил временное исправление, которое заполняет буфер случайными байтами в случае сбоя проверки, тем самым предотвращая повторное использование старых данных до внедрения постоянного исправления.

Две последние ошибки вызвали разногласия между другими частями системы. Одна ошибка перегружала сеть, заставляя её использовать слишком много памяти при чтении сообщений (GHSA-438q-jx8f-cccv). Другая была незначительным расхождением в коде при проверке Zebra определенных транзакций (GHSA-cwfq-rfcr-8hmp).

Фонд отметил, что последняя ошибка практически не могла быть использована злоумышленниками, но все равно выпустил патч для приведения поведения в соответствие с zcashd. Исследователь безопасности Сангсоо-осек (Sangsoo-osec) был отмечен за обнаружение трех из пяти уязвимостей.

Мог бы релиз выйти в более подходящее время?

Согласно DeFiLlama, апрель 2026 года стал самым взламываемым месяцем в истории криптоиндустрии (по количеству инцидентов), когда было зафиксировано около 28–30 отдельных атак. По данным CertiK, посте в X по состоянию на 30 апреля общие убытки составили примерно $651 млн, что является самым высоким показателем с марта 2022 года, если не учитывать взлом Bybit в феврале 2025 года.

Два инцидента стали причиной большей части ущерба. 1 апреля протокол Drift потерял около $285 млн в результате социальной инженерии, связанной с группировкой Lazarus из Северной Кореи. К 18 апреля KelpDAO пострадала от собственной атаки с подделкой сообщений на сумму $293 млн, нацеленной на кросс-чейн мост LayerZero, согласно Cryptopolitan. 

Важно отметить, что ни одна из атак в апреле не была направлена напрямую против Zcash. Однако огромный объем атак в разных сетях объясняет, почему Фонд Zcash классифицировал обновление Zebra как «критическое» и настоятельно рекомендовал его немедленное внедрение.

Что должны сделать операторы узлов Zcash

Фонд рекомендует всем операторам немедленно обновиться до Zebra 4.4.0, поскольку релиз не вносит никаких других значимых изменений, кроме исправлений безопасности. 

Операторы узлов, использующие более старые версии, остаются уязвимыми ко всем пяти уязвимостям, включая остановку обнаружения блоков, для эксплуатации которой требуется всего одно вредоносное соединение.

ZEC торговались по $377.46 на момент написания статьи, согласно CoinMarketCap, с рыночной капитализацией $6,28 млрд.