Zcash (ZEC) Geliştiricileri 2 Haziran'da Yapay Zekâ Buluşlu Orchard Açığına Acil Yamayı Tamamladı

Acil Yama, ZEC'de Sahte Arz Penceresini Kapattı

Zcash geliştiricileri, gizlilik protokolünün Orchard devresindeki bir güvenlik açığı için 2 Haziran'da acil yamayı tamamladı. Açık bırakıldığında, tespit edilmeden sınırsız miktarda sahte ZEC basılmasına izin verebilirdi — bu da Zcash gizlilik protokolü için bugüne dek belgelenmiş en ağır teorik arz risklerinden biri olarak kayıtlara geçti. Bulguyu 29 Mayıs'ta SeedLabs duyurdu; ekip, kusurun sıradan bir manuel inceleme değil, yapay zekâ destekli bir güvenlik denetimi sırasında ortaya çıktığını raporladı. Bu denetimde Anthropic'in Claude Opus 4.8 modeli, özel olarak geliştirilmiş denetim ajanlarıyla eşleştirildi ve kusur bir “sağlamlık hatası” (soundness failure) olarak sınıflandırıldı. Tercümesi şu: sıfır bilgi kanıtının (zero-knowledge proof) içindeki doğrulama koşulları yeterince kısıtlanmamıştı; bu da bir saldırganın, ağın doğrulama kurallarına takılmadan geçerli bir kanıt gibi görünen veri inşa edip sahte ZEC üretebilmesine kapı açıyordu. Ekibin tepkisi, ortaya konan riskle orantılıydı. SeedLabs araştırmacıları teori aşamasında kalmadı — yerel bir test ortamında çalışan saldırı kodu yazdı ve sahte ZEC'in gerçekten üretilebildiğini doğruladı; böylece bulgu, kağıt üstünde bir zafiyetten kanıtlanmış bir istismar yoluna dönüştü. Zcash geliştirme ekibi de konuyu ivedilikle ele aldı ve açıklamada düzeltme çalışmalarının 2 Haziran'a kadar tamamlandığı belirtildi. Orchard, Zcash'in özel işlemlerinin barındığı korumalı havuzdur; bu yüzden oradaki bir kanıt hatası, para biriminin ihraç garantisini tam kalbinden vurur. Gizlilik odaklı bir varlık için ihraç bütünlüğü tek başına en kritik taşın özelliğidir ve açık bu bölgeye doğrudan dokundu. Yamanın kapatmadığı soru ise istismar sorusu: sahte üretim yolu yalnızca yerel test ortamında doğrulandı ve açığın ana ağda (mainnet) hiç kullanıldığına dair kamuya açık bir kayıt yok. Bu ayrım — açığın bulunması, istismarın yerelde gösterilmesi ve ana ağ kötüye kullanımının doğrulanmamış olması — haberdeki her rakamın okunması gereken çerçevedir.

Orchard Sağlamlık Açığı Nasıl İşliyordu?

Söz konusu mekanizma dar ama temel bir meseleye dayanıyor. Sıfır bilgi kanıtı sistemlerinde bir sağlamlık hatası, kanıtı doğrulayan kontrollerin fazla gevşek olması demektir: doğrulukta yanlış olması gereken bir önerme, kanıtlanmış gibi gösterilebilir. Zcash'in Orchard devresinde bu gevşeklik, doğrudan bir ihraç tehdidine dönüştü; çünkü havuzun geçerli kabul ettiği notlar, ağdaki her node'un yeniden doğruladığı dolaşımdaki arz muhasebesine birebir besleniyor. Sınırsız sahte ZEC, bir piyasa aksaklığı olmazdı; sessizce, bir Layer 1 protokolünün var olma amacı olan ihraç garantisini bozardı. İki yapısal güvenceyi not etmek gerekiyor. Orchard havuzu bir ihraç üst sınırı altında çalışıyor ve Ironwood havuzunun tanıtımı, sıfır bilgi kanıtında bir hata gerçekleşse dahi korumalı bölgeden kaçabilecek fon toplamının sınırlı kalacak biçimde tasarlandı — arz doğrulaması, tam da bu hata sınıfına karşı güçlendirilmişti. Açıklamanın kendisinin sunduğu yorumla, yapay zekâ kriptografiyi kırmadı: insan araştırmacıların yıllardır gözden kaçırdığı, kamuya açık kodda yatan bir mantık hatasına hızla odaklandı ve bu hatanın saldırıya açık olduğunu doğruladı. Olay dolayısıyla kırılmış bir kriptografi değil, uzun süredir gözden kaçan bir mantık hatasının hızla ortaya çıkarılıp doğrulanması olarak okunmalı. Bölümün gerçek önemi de burada: kamuya açık kod ve işlem otomasyonu sistemleri, bu tür otomatik saldırı analizinin artık meşru birer hedefi durumunda. Bu yazının hazırlandığı andaki veriye göre spot ZEC son 24 saatte yüzde 8,0 geriledi; zincir üstü kayıtlarda bu hareketi duyuruyla ilişkilendiren hiçbir veri yok.

Yama Neyi Değiştirdi, Neyi Kapatmadı?

COINOTAG'ın değerlendirmesi şudur: 2 Haziran yaması teknik zemin gerçeğini değiştirdi; buna karşılık delil defteri bilinçli olarak sade kaldı. Alıntılanacak bir saldırgan işlem özeti (hash) yok ve zincir üzerinde doğrulanacak boşaltılmış bir tutar bulunmuyor; çünkü zincir üstü veriler doğrulanmış bir ana ağ istismarına işaret etmiyor. Olay sonrası raporu (post-mortem) işlevini doğrudan SeedLabs açıklaması görüyor: Orchard devresindeki kısıtlanmamış doğrulama koşulunu kök neden, tamamlanan acil yamayı ise çözüm olarak adlandırıyor. Henüz kaplanmayan taraf da aynı derecede net: ana ağda gerçekleştirilmiş herhangi bir sahte üretim girişiminin bağımsız bir zaman çizelgesi yayımlanmadı. Bu temiz sicile karşılık kurumsal ilgi artmaya devam etti — Grayscale'in ZCSH hisselerine 3'e 1 bölüşümü ve Garret Jin'in 320 milyon dolarlık ZEC pozisyonu, piyasayı olayı kapsanmış bir mesele olarak görmüş bir tabloya oturtuyor. Pozisyon alıp almayacağını tartan okuyucular, Zcash satın alma konusundaki adım adım rehberimizi izleyebilir.