Zcash исправляет критические ошибки, поскольку за месяц хакерские атаки на криптовалюту достигли 651 миллиона долларов

Сегодня, 2 мая 2026 года, Zcash Foundation только что выпустил Zebra 4.4.0, призывая всех операторов узлов немедленно выполнить обновление после исправления множества недостатков безопасности, в том числе тех, которые могли нарушить консенсус сети.

Патч выходит в конце апреля, который на данный момент считается худшим месяцем для крипто-эксплойтов. Компания CertiK, занимающаяся безопасностью блокчейнов, подтвердила, что общие потери в отрасли составляют около 651 миллиона долларов.

Какие недостатки Zcash исправлены в Zebra 4.4.0?

Обновление устраняет пять отдельных уязвимостей в Zebra, реализации узла Zcash на основе Rust, созданной Zcash Foundation. Три ошибки критически важны для консенсуса, а это означает, что злоумышленники могли ими воспользоваться и заставить узлы Zebra принимать транзакции, которые устаревшие клиенты zcashd отклоняли бы, тем самым разделив сеть.

Самая серьезная проблема (GHSA-28xj-328h-72vm) позволила удаленному хакеру навсегда помешать узлу обнаруживать новые блоки всего за одно соединение. Атака объединила три уязвимости в том, как Zebra обменивалась и загружала информацию.

Согласно уведомлению Zcash Foundation, эксплойт «не привел к нулевому показателю нарушений, нулевым банам и отключениям», что сделало его невидимым для стандартных инструментов мониторинга.

Вторая ошибка (GHSA-jv4h-j224-23cc) также привела к тому, что Zebra потеряла подсчет количества подписей внутри блока транзакций (обычно оно учитывалось меньше, чем предел блока в 20 000 подписей).

Судя по всему, система Zebra игнорировала два конкретных типа скриптов (scriptSig входа Coinbase и подписи P2SH) во время проверки блока. Из-за этого злоумышленник может создать блок, используя обе бреши, пройдя проверки Zebra, но потерпев неудачу на zcashd и создав разделение цепочки.

Третья серьезная проблема (GHSA-gq4h-3grw-2rhv) возникла из-за предыдущего исправления Sighash, из-за которого устаревшие данные оставались во временной области хранения (буфере), доступной для чтения через интерфейс внешних функций C++ Zebra.

Таким образом, злоумышленник может воспользоваться этим, используя действительную подпись для заполнения буфера правильной информацией, а затем отправить вторую транзакцию с недопустимым типом хеша, которая пройдет проверку на основе оставшихся данных.

Чтобы решить эту проблему, Фонд применил временное исправление, которое разбрасывает буфер случайными байтами в случае неудачной проверки, тем самым не позволяя системе повторно использовать старую информацию до тех пор, пока не будет развернуто постоянное исправление.

Последние две ошибки вызвали разногласия между другими частями системы. Одна ошибка перегрузила сеть, заставив ее использовать слишком много памяти при чтении сообщений (GHSA-438q-jx8f-cccv). Другим было незначительное несоответствие в кодировании того, как Zebra проверяла определенные транзакции (GHSA-cwfq-rfcr-8hmp).

Фонд отметил, что последнее практически невозможно использовать, но все же решил исправить его, чтобы оно соответствовало поведению zcashd. Исследователю безопасности Сангсу-осеку приписывают обнаружение трех из пяти проблем.

Мог ли релиз выйти в более подходящее время?

По данным DeFiLlama, апрель 2026 года стал месяцем с наибольшим количеством взлома в истории криптовалют (по количеству инцидентов): по оценкам, было совершено от 28 до 30 отдельных атак. В сообщении CertiK X от 30 апреля общие убытки составили примерно 651 миллион долларов, что является самым высоким показателем с марта 2022 года, без учета взлома Bybit в феврале 2025 года.

Большая часть ущерба была вызвана двумя инцидентами. 1 апреля Drift Protocol потерял около 285 миллионов долларов в результате операции социальной инженерии, связанной с северокорейской группой Lazarus. По данным Cryptopolitan, к 18 апреля KelpDAO подверглась собственному эксплойту по подмене сообщений стоимостью 293 миллиона долларов, нацеленному на межсетевой мост LayerZero.

Примечательно, что ни один из эксплойтов апреля не был нацелен непосредственно на Zcash. Но огромный объем атак на разные сети отражает, почему его Фонд решил обозначить обновление Zebra как «критическое» и настаивать на немедленном внедрении.

Что должны делать операторы узлов Zcash

Фонд советует всем операторам немедленно выполнить обновление до Zebra 4.4.0, поскольку эта версия не содержит никаких других существенных изменений, кроме исправлений безопасности.

Операторы узлов, использующие более старые версии, по-прежнему подвержены всем пяти уязвимостям, включая остановку обнаружения блоков, для выполнения которой требуется только одно вредоносное соединение.

По данным CoinMarketCap, на момент написания ZEC торговался по цене 377,46 долларов США, а рыночная капитализация составляла 6,28 миллиарда долларов США.