Zcash telah memperbaiki kerentanan besar yang akan memungkinkan pihak beritikad buruk untuk menguras dana dari protokol “Sprout” pool shielded yang sudah tidak digunakan.

Ringkasan

• Zcash memperbaiki kelemahan kritis pada node zcashd yang melewatkan verifikasi bukti pada pool legacy Sprout, sebuah bug yang dapat mengekspos lebih dari 25.000 ZEC pada potensi pengurasan.
• Kerentanan tersebut tetap ada dari Juli 2020 hingga rilis v6.12.0, tanpa eksploitasi yang terdeteksi, dan seluruh dana pengguna dipastikan aman.

Laporan pengungkapan dari peneliti keamanan Alex “Scalar” Sol, yang dipublikasikan pada hari Selasa, mengklaim bahwa sebuah celah kritis ditemukan pada node zcashd yang menyebabkan verifikasi bukti dilewati untuk transaksi yang melibatkan pool legacy Sprout.

Tidak ada dana pengguna yang hilang

Pool Sprout Zcash adalah “pool shielded” asli yang diluncurkan bersama jaringan pada 2016. Ini adalah implementasi pertama dari zero-knowledge proofs (zk-SNARKs) dalam mata uang kripto produksi, yang memungkinkan pengguna mengirim dan menerima ZEC secara privat.

Meskipun pool tersebut ditutup untuk setoran baru pada November 2020, pool ini masih menampung sekitar 25.424 ZEC, yang belum dimigrasikan ke versi pool shielded yang lebih baru.

Menurut pengungkapan tersebut, kerentanan mencakup rilis mulai Juli 2020 dan seterusnya, tetapi telah diperbaiki melalui v6.12.0, yang dirilis pada hari Selasa. Sejauh ini, celah tersebut belum dieksploitasi, dan dana pengguna tetap aman.

Kumpulan penambangan (mining pool) besar, termasuk Luxor, F2Pool, ViaBTC, dan AntPool, telah menerapkan perbaikan tersebut pada 26 Maret, demikian laporan itu menambahkan.

Laporan tersebut menambahkan bahwa implementasi node penuh Zebra tidak terpengaruh. Jika terjadi upaya eksploitasi, itu akan menghasilkan chain fork, yang berfungsi sebagai perlindungan tambahan.

Terlepas dari tingkat keparahan masalah tersebut, Zcash Open Development Team telah menjelaskan bahwa mekanisme “turnstile” jaringan, yang memastikan bahwa setiap koin yang keluar dari pool Sprout harus sebelumnya telah memasukinya, akan mencegah inflasi pasokan yang lebih luas.

Untuk jaringan Zcash, ini menandai kali kedua sebuah kerentanan kritis dan sistemik terungkap di dalam pool shielded-nya. Pada 2019, tim Zcash mengungkapkan bug “pemalsuan” (“counterfeiting”), sebuah kelemahan dalam kriptografi yang mendasarinya yang dapat memungkinkan penyerang membuat jumlah tak terbatas ZEC tanpa terdeteksi.