Zcash zakrpio kritičnu ranjivost koja je mogla omogućiti stvaranje lažnih ZEC tokena 

Zcash developeri uspešno su zakrpili ozbiljnu bezbednosnu ranjivost u Orchard shielded pool sistemu, jednom od ključnih delova mreže koji omogućava privatne transakcije. Problem je bio izuzetno ozbiljan jer je, u teoriji, mogao omogućiti napadaču da kreira neograničenu količinu lažnih ZEC tokena bez lakog otkrivanja.

Ranjivost je otkrio bezbednosni istraživač Taylor Hornby 29. maja 2026. godine tokom ciljane provere protokola koju je naručio Shielded Labs. Nakon otkrića, Zcash tim je brzo pokrenuo hitnu reakciju i do 2. juna pripremio mrežnu zakrpu kojom je problem ublažen na aktivnoj mreži.

Ova ranjivost bila je prisutna u Orchard sistemu još od njegove aktivacije u maju 2022. godine. To znači da je potencijalni rizik postojao godinama, iako nema potvrde da je neko zaista uspeo da ga iskoristi. Upravo ta neizvesnost izazvala je najveću zabrinutost u zajednici i na tržištu.

Orchard shielded pool je deo Zcash infrastrukture koji koristi zero-knowledge tehnologiju kako bi omogućio privatne transakcije. Kod takvih transakcija sakrivaju se podaci kao što su pošiljalac, primalac i iznos. To je jedna od glavnih prednosti Zcash mreže, ali u ovom slučaju privatnost otežava naknadnu proveru da li je greška ikada zloupotrebljena.

Prema objašnjenju Shielded Labs-a, problem se nalazio u Orchard zero-knowledge circuit sistemu. Određeni deo koda nije pravilno proveravao ulazne podatke, što je potencijalno omogućavalo da lažni inputi prođu kao validni. Ako bi napadač iskoristio taj propust, mogao je da napravi falsifikovane ZEC tokene unutar privatnog sistema.

Da bi proverio ozbiljnost problema, Hornby je napravio testni exploit u lokalnom okruženju. U tom testu bilo je moguće stvarati neograničene lažne tokene, što je potvrdilo da ranjivost nije bila samo teorijska. Zbog toga je reakcija developera morala biti brza i koordinisana.

Ipak, najvažnija poruka tima je da za sada nema dokaza da je ranjivost iskorišćena na glavnoj mreži. Shielded Labs smatra da je prethodna zloupotreba malo verovatna, jer je greška godinama ostala neprimećena uprkos proverama iskusnih kriptografa. Takođe, istraživač je bio angažovan upravo da pronađe duboke i teško uočljive slabosti pre nego što ih otkriju zlonamerni akteri.

Zcash osnivač Zooko Wilcox podelio je informacije o incidentu i naglasio da je tim reagovao kroz hitnu koordinaciju. Ipak, zbog same prirode privatnih transakcija, nije moguće jednostavno i kriptografski dokazati da lažni tokeni nikada nisu kreirani dok je ranjivost bila aktivna. To je glavni razlog zbog kojeg incident ima reputacionu težinu, čak i ako nema potvrđene krađe ili zloupotrebe.

Tržište je reagovalo veoma oštro. ZEC je u roku od 24 sata pao više od 37% i kratko se spustio na dnevni minimum od oko 385,8 dolara. Pad je bio posebno bolan jer je Zcash prethodno bio jedan od najjačih privacy tokena u ovom ciklusu.

Pre incidenta, ZEC je imao snažan rast. Tokom kasne 2025. godine cena je porasla više od 1.000% u odnosu na ranije nivoe i dostigla istorijski maksimum blizu 748 dolara u novembru. U prvim mesecima 2026. godine momentum je ostao jak, a token je beležio značajne dobitke zahvaljujući obnovljenom interesovanju za privacy coine.

U periodu pre otkrivanja Orchard ranjivosti, ZEC je imao rast od više od 110% u roku od 30 dana, a u jednom trenutku je skočio oko 30% u samo jednom danu. Tržišna kapitalizacija se kretala iznad 6 do 7 milijardi dolara, dok su shielded transakcije beležile rekordne nivoe aktivnosti. Upravo zato je vest o ranjivosti imala snažan efekat na investitore.

Kod privacy coina poverenje je posebno važno. Korisnici biraju takve mreže zato što očekuju visok nivo privatnosti, sigurnosti i kriptografske preciznosti. Kada se pojavi greška koja potencijalno dovodi u pitanje ukupnu ponudu tokena, tržište ne reaguje samo na tehnički rizik, već i na strah da je narušen osnovni princip projekta.

Shielded Labs sada predlaže dodatnu mrežnu nadogradnju koja bi trebalo da obnovi potpuno poverenje u ukupnu ponudu ZEC-a. Ideja je da se napravi novi, izolovani shielded pool u koji bi korisnici migrirali sredstva iz postojećeg Orchard pool-a kroz poseban kriptografski mehanizam.

Taj mehanizam se opisuje kao neka vrsta “turnstile” procesa. Cilj je da se kretanje sredstava između starog i novog sistema proveri na način koji može javno potvrditi da nije došlo do nelegalnog povećanja ukupne ponude. Drugim rečima, mreža bi dobila način da matematički potvrdi integritet ZEC supply-ja nakon perioda u kojem je ranjivost postojala.

Shielded Labs planira da objavi tehničku dokumentaciju za ovaj okvir provere ukupne ponude, nakon čega bi predlog trebalo da prođe kroz Zcash decentralizovani governance proces. To znači da konačna nadogradnja neće biti samo tehnička odluka male grupe developera, već tema za širu zajednicu.

Analitičari su odmah ukazali na to da ovaj incident može obnoviti stare strahove oko Zcasha. Neki su podsetili da se ranije već dešavalo da ozbiljne ranjivosti budu otkrivene tek nakon dužeg vremena. Takva istorija pojačava zabrinutost investitora jer se postavlja pitanje koliko je teško potpuno proveriti kompleksne zero-knowledge sisteme.

Drugi analitičari su istakli da najveći problem nije samo zakrpljena greška, već nemogućnost da se sa apsolutnom sigurnošću kaže da li je ranjivost iskorišćena pre zakrpe. Kod transparentnih blockchain mreža često je lakše analizirati sve transakcije i potvrditi stanje. Kod privatnih sistema, upravo funkcija privatnosti otežava takvu proveru.

Ovaj slučaj pokazuje i širu dilemu privacy tehnologije. Privatnost štiti korisnike, ali može otežati forenzičku proveru kada se pojavi problem. Zcash zbog toga mora da pronađe ravnotežu između očuvanja privatnosti i potrebe da zajednica ima proverljivo poverenje u ukupnu ponudu tokena.

Pozitivna strana incidenta jeste brzina reakcije. Od otkrića 29. maja do zakrpe 2. juna prošlo je samo nekoliko dana. To pokazuje da su Zcash developeri, Shielded Labs i uključeni istraživači ozbiljno shvatili pretnju i brzo koordinisali odgovor. Brza reakcija smanjila je mogućnost da neko iskoristi ranjivost nakon otkrivanja.

Ipak, brzina zakrpe ne rešava u potpunosti reputacioni problem. Za mnoge investitore, činjenica da je greška postojala od 2022. godine biće razlog za dodatni oprez. Čak i ako nije bilo zloupotrebe, sama mogućnost neograničenog falsifikovanja tokena u privatnom pool-u veoma je ozbiljna.

Zato Shielded Labs najavljuje dodatne bezbednosne mere. Među njima su formalna verifikacija Orchard circuit sistema i uključivanje dodatnih stručnjaka za bezbednost. Formalna verifikacija je važna jer pokušava matematički da dokaže da određeni delovi sistema rade kako je predviđeno, umesto da se oslanjaju samo na ručne revizije i testiranje.

Ovaj događaj je važna lekcija za celu industriju zero-knowledge tehnologije. ZK sistemi se sve više koriste u privatnim transakcijama, skaliranju blockchain mreža, rollup rešenjima i identitetu. Kako njihova upotreba raste, raste i potreba za ozbiljnim proverama, revizijama i formalnim dokazima ispravnosti.

Za Zcash zajednicu, naredni period biće ključan. Tehnička zakrpa je prvi korak, ali obnova poverenja zahtevaće više od toga. Potrebno je jasno objasniti korisnicima šta se dogodilo, zašto se smatra da exploit nije korišćen, kako će se proveriti ukupna ponuda i koje dodatne mere će sprečiti slične propuste u budućnosti.

Za investitore, pad ZEC-a od preko 37% pokazuje koliko brzo tržište kažnjava neizvesnost. Čak i kada nema potvrđene krađe, nejasnoća oko ukupne ponude može biti dovoljna da izazove masovno povlačenje kapitala. Kod imovine čija vrednost zavisi od poverenja u kriptografski sistem, percepcija sigurnosti je skoro jednako važna kao i sama tehnička realnost.

Zcash i dalje ima važnu ulogu u svetu privacy coina, ali ovaj incident je otvorio ozbiljna pitanja. Projekat mora pokazati da može održati visok nivo privatnosti, a istovremeno obezbediti proverljivo poverenje u monetarnu politiku i ukupnu ponudu tokena. Ako u tome uspe, trenutni pad može ostati ozbiljna, ali prolazna kriza. Ako poverenje ne bude obnovljeno, posledice bi mogle trajati mnogo duže.

Sve u svemu, Zcash je zakrpio kritičnu Orchard ranjivost koja je mogla omogućiti stvaranje neograničene količine lažnih ZEC tokena. Problem je otkriven 29. maja, a zakrpa je uvedena do 2. juna. Iako nema dokaza da je exploit iskorišćen, činjenica da se to ne može lako kriptografski dokazati izazvala je snažnu reakciju tržišta i pad ZEC-a od više od 37%. Sada je glavni zadatak Zcash zajednice da kroz dodatne nadogradnje, proveru ukupne ponude i jače bezbednosne procese vrati poverenje korisnika i investitora.