信息安全渗透攻防漏洞分享

#网络安全 #技术分享 #安全研究 #安全分享 Zcash 被发现了一个存在四年的漏洞，攻击者可以凭空生成任意数量的 $ZEC ，并且能通过网络的所有验证，系统会把这些伪造的代币当成合法交易接受，事后也无法分辨哪些是真实的、哪些是伪造的。受此影响， $ZEC 24 小时跌超 25%。 今晨，Zcash 创始人 Zooko Wilcox 公开了事情经过。 Zcash 有一个叫 Orchard 的隐私池，所有通过它转账的交易都是加密的，外人看不到谁转了多少给谁。这个隐私池在 2022 年 5 月上线，一直被认为是安全的。 5 月 29 日，安全研究员 Taylor Hornby 用 Anthropic 刚发布一天的 AI 模型 Opus 4.8 做代码审计时，发现了一个严重漏洞：Orchard 的加密验证系统有一个缺口，攻击者可以伪造交易，让系统以为这笔交易是合法的。利用这个缺口，攻击者可以在 Orchard 里无限制地生成假的 zcash:native，并且由于隐私保护机制，这些假币完全无法被检测到。 如果有人悄悄给自己的钱包里加任意数量的 zcash:native，整个网络都不会发现。 Hornby 当天就通知了 Zcash 开发团队。团队在五天内完成了紧急修复：6 月 2 日先临时关闭了 Orchard 的所有交易功能，6 月 3 日通过一次网络升级修复了漏洞并重新启用 Orchard。