ZachXBT 指出 Zashi 钱包 NEAR Intents 集成中的隐私缺陷

区块链调查员 ZachXBT 发现了 Zashi 钱包与跨链交易协议 NEAR Intents 集成中的隐私漏洞。这位独立研究人员周二在 X 上发布了一条线程，称他在调查欺诈行为者时测试了该系统，以寻找“他可以滥用的设计缺陷”。

Zashi 是由 Electric Coin Co. 开发的自我托管加密货币钱包，该团队也是 2016 年推出的注重隐私的加密货币 Zcash (ZEC) 背后的团队。该钱包允许用户发送、接收和花费 ZEC，同时向中介、公司或政府监控隐藏其金融活动。

ZachXBT 撰写了关于他如何测试 Zashi 与 NEAR Intents 集成的文章，因为“最近的炒作”，想知道它是否保持了 Zcash 用户期望的屏蔽交易匿名性水平。

调查员识别出将 SOL 转移到 Zcash 时的隐私缺陷

在他的实验中，ZachXBT 使用 NEAR Intents 将 1 SOL 从 Solana 桥接到 Zashi 钱包的 Zcash。在确认源交易和目标交易后，他屏蔽了资金以保护隐私。 

这位区块链安全侦探随后使用了 Zashi 的“CrossPay”功能，该功能允许用户花费屏蔽的 ZEC 并发送等值的另一种加密货币，以向以太坊地址存入 0.005 ETH。

3/ 现在假设我想匿名地用我屏蔽的 ZEC 为我的 Zashi 钱包中的 ETH 地址注资，所以我通过 Near Intents 使用“Crosspay”功能，将 0.005 ETH 接收至以下地址：

0x6dda3649f19191a9df465f4010019f2f59c34bc4 pic.twitter.com/5cMDG83MN9

— ZachXBT (@zachxbt) 2025年21月

虽然主要转账在几分钟后完成，但 ZachXBT 发现了一笔意外的退款交易，金额为 0.001598 ZEC，发送到他最初屏蔽资金的同一透明地址。 

根据这位备受关注的加密货币安全调查员的说法，自动退款在他屏蔽和未屏蔽的地址之间建立了可见链接，破坏了 Zcash 屏蔽系统旨在保护的隐私。

退款交易在 Zcash 区块链上公开可追溯，可能允许任何人匹配 NEAR Intents 系统和退款本身之间的时间和金额。 

“某人只需匹配 Near Intents 地址的时间和金额，即可识别 ZEC 退款交易，从而让某人去匿名化你最初屏蔽 ZEC 的 t 地址，因为它是静态的，且退款未屏蔽，”ZachXBT 推测道。

Zashi 钱包承诺更新以解决可追溯性问题

这位 Web3 安全研究人员透露，该缺陷源于 NEAR Intents 处理跨链交易退款的方式。在他的例子中，使用的 Near Intents Zcash 地址是公开可见的，这意味着退款交易是在透明状态下处理的，而不是在 Zcash 的屏蔽池内处理。 

由于 Zashi 的集成重用相同的透明地址进行退款，这种链接对链上分析师来说变得显而易见。

在发现该缺陷后，ZachXBT 表示他联系了 Zashi 开发团队，他们承认了该问题并确认计划引入临时地址。 

如果按预期实施更新，这些临时钱包地址将在每次交易后消失，以减少可追溯性。他们还告诉他，屏蔽退款将在未来更新中纳入 NEAR Intents。

尽管存在缺陷，ZachXBT 仍称赞 Zashi 为“隐私方面的愉快钱包体验”，并指出它修复了他在使用另一种 隐私币 Monero 时遇到的几个用户界面和体验问题。

“我正在考虑为寻求匿名化其活动的个人交易者或精品基金提供服务，”他说，并补充说有兴趣的各方可以直接联系他进行合作。

当一位粉丝告诉他他的想法类似于聘请来突破安全系统以识别弱点的网络安全顾问时，ZachXBT 表示同意。 

NEAR Intents 协议历史总交易量达到 2 十亿美元

根据 Dune Analytics 的 数据，NEAR Intents 的用户活动和交易量正在上升，现已突破 20 亿美元。

基于意图的系统每月每日区块链交易量增加了 379%，自 9 月 21 日以来用户数量已超过 457,000。 

NEAR Intents 是一个多链交易协议，通过基于意图的机制自动化跨链操作。用户或代表他们行事的 AI 代理广播他们期望的结果（例如将一种代币兑换为另一种），而不是手动桥接或兑换代币。

在过去 24 小时内，用户进行了价值 6,500 万美元的代币交易，其中 ZEC 占总数的 10%。该钱包目前支持两个实时功能：Zashi Swaps 和 CrossPay，这两个功能本月早些时候上线。