Zcash突發(fā)無限鑄幣漏洞！創(chuàng)始人緊急修復(fù)，但社區(qū)已經(jīng)炸鍋了……

奔跑財(cái)經(jīng)6月5日消息，隱私幣之王Zcash，剛剛經(jīng)歷了一場(chǎng)生死時(shí)速。 就在所有人以為它已平穩(wěn)運(yùn)行多年的時(shí)候，一個(gè)足以動(dòng)搖其核心信任的漏洞，被悄悄發(fā)現(xiàn)并緊急修復(fù)——而幾乎同一時(shí)間，前CEO的“滿倉離場(chǎng)”操作，讓整個(gè)社區(qū)陷入了更大的猜疑漩渦。

驚天漏洞

5月29日，安全研究員Taylor Hornby像往常一樣審查Zcash的代碼，卻突然在一個(gè)最核心的環(huán)節(jié)發(fā)現(xiàn)了一個(gè)致命的邏輯錯(cuò)誤。這個(gè)漏洞，隱藏在Zcash的Orchard隱私池中——它正是整個(gè)網(wǎng)絡(luò)實(shí)現(xiàn)“匿名交易”的關(guān)鍵樞紐。

如果被惡意利用，這個(gè)漏洞理論上可以允許攻擊者憑空鑄造出無限的ZEC代幣，而外界根本無法追蹤。這就像一個(gè)銀行的保險(xiǎn)庫大門上，被人偷偷裝了一把萬能鑰匙——并且，門上的監(jiān)控系統(tǒng)還自動(dòng)錄下了“一切正常”的信號(hào)。

消息一經(jīng)傳出，整個(gè)Zcash社區(qū)瞬間屏住了呼吸。這不是一次普通的Bug修復(fù)，而是直接關(guān)系到Zcash的核心價(jià)值主張： 如果“絕對(duì)稀缺性”都不復(fù)存在，隱私幣的核心信仰將徹底崩塌。

72小時(shí)極限搶救：創(chuàng)始人親自下場(chǎng)

發(fā)現(xiàn)問題的當(dāng)天，Zcash開源開發(fā)實(shí)驗(yàn)室（Zcash Open Development Lab）立刻拉響了最高級(jí)別的警報(bào)。在與生態(tài)中的其他團(tuán)隊(duì)緊急協(xié)調(diào)后，一場(chǎng)為期四天的“代碼保衛(wèi)戰(zhàn)”正式打響。

從5月29日漏洞被確認(rèn)，到6月2日完成修復(fù)——Zcash團(tuán)隊(duì)跑贏了時(shí)間。

修復(fù)方案分為兩步：首先緊急暫停Orchard池的所有交易活動(dòng)，將風(fēng)險(xiǎn)窗口徹底封死；隨后迅速部署修復(fù)后的代碼，并恢復(fù)隱私池的正常運(yùn)行。整個(gè)過程像是一次“心臟搭橋手術(shù)”，在不停機(jī)的狀態(tài)下完成核心部件的替換。

Zooko（Zcash創(chuàng)始人）事后通過各大社交平臺(tái)轉(zhuǎn)發(fā)了Shielded Labs的公告，用一貫冷靜的語氣確認(rèn)：“漏洞已經(jīng)修復(fù)，用戶資金沒有被盜。這證明了我們安全審計(jì)體系的有效性。”

但社區(qū)顯然做不到創(chuàng)始人那么淡定。

前CEO“清倉式”離場(chǎng)

就在漏洞消息發(fā)酵的同時(shí)，另一條重磅新聞徹底點(diǎn)燃了社區(qū)情緒。Zcash前CEO Zooko Wilcox正在清空他手中的全部ZEC倉位。

盡管Zooko本人將這次操作解釋為個(gè)人財(cái)務(wù)規(guī)劃調(diào)整，并強(qiáng)調(diào)自己將繼續(xù)以創(chuàng)始人身份參與項(xiàng)目，但在“無限鑄幣漏洞”剛剛爆出、市場(chǎng)信心極度脆弱的節(jié)骨眼上，一個(gè)創(chuàng)始人級(jí)的“滿倉變現(xiàn)”，很難不讓外界產(chǎn)生聯(lián)想：這個(gè)Bug真的只是“已修復(fù)”嗎？會(huì)不會(huì)還有更深的隱患？還是說，項(xiàng)目?jī)?nèi)部已經(jīng)有人開始用腳投票？

一時(shí)間，“內(nèi)幕交易”“提前跑路”“項(xiàng)目方失去信心”等負(fù)面關(guān)鍵詞，瞬間占領(lǐng)了各大加密貨幣社群的討論區(qū)。

信任危機(jī)：比代碼漏洞更可怕的東西

從技術(shù)角度來看，Zcash團(tuán)隊(duì)的響應(yīng)速度和修復(fù)質(zhì)量堪稱教科書級(jí)別。

發(fā)現(xiàn)到確認(rèn)：不到24小時(shí)

修復(fù)部署：4天完成

資金安全：0用戶資產(chǎn)被盜

但從市場(chǎng)情緒來看，這次事件暴露出的，是Zcash長(zhǎng)期以來面臨的一個(gè)更深層次的矛盾。隱私幣的“絕對(duì)安全”承諾，究竟能否被代碼100%保證？