Zcash sluit Orchard af na zware fout in ZEC-bewijs

Zcash heeft Ironwood geactiveerd om één harde vraag opnieuw controleerbaar te maken: klopt de ZEC-voorraad nog?

De upgrade ging op 28 juli live bij blockhoogte 3.428.143. Daarmee krijgt Zcash een nieuwe afgeschermde pool, nadat in Orchard een fout werd ontdekt die in theorie vervalsing van ZEC mogelijk maakte.

Er is geen bewijs dat de kwetsbaarheid is misbruikt. Maar bij een privacycoin is dat precies het pijnpunt: sommige dingen zijn door het ontwerp niet zomaar zichtbaar.

De kwetsbaarheid werd op 29 mei gemeld door beveiligingsonderzoeker Taylor Hornby. Hij vond het probleem tijdens een AI-ondersteunde audit van het Orchard-protocol.

Volgens ZIP 257 zat de fout in het Orchard Action-circuit. Dat is een onderdeel van de zero-knowledgebewijzen waarmee Zcash afgeschermde transacties controleert.

Concreet ontbrak een noodzakelijke beperking in een cryptografische berekening voor variable-base scalar multiplication.

Daardoor kon een bewijs mogelijk worden goedgekeurd terwijl het niet aan alle bedoelde voorwaarden voldeed. De technische documentatie noemt een mogelijke overtreding van de balansregels.

Simpel gezegd: een aanvaller had in theorie ZEC kunnen laten ontstaan of verplaatsen zonder dat het bewijs klopte.

Zcash-ontwikkelaars reageerden met een noodroute.

Eerst werd Orchard tijdelijk stilgelegd voor nieuwe acties. Daarna activeerde NU6.2 op 3 juni een gecorrigeerde versie van het circuit.

Volgens de Zcash Foundation werkten Zebra 4.5.3 en 5.0.0 samen om Orchard tijdelijk uit te schakelen en daarna met de juiste verificatiesleutel opnieuw te openen.

Ook in de communitymelding over de herstelde Orchard-kwetsbaarheid staat dat er geen aanwijzingen zijn voor misbruik.

Dat loste de directe bug op. Het nam niet alle twijfel weg.

Door de privacy van Orchard konden gebruikers niet zelfstandig bewijzen dat er vóór de reparatie nooit ongeoorloofde ZEC waren gemaakt.

Ironwood is het antwoord op die resttwijfel.

Volgens ZIP 258 introduceert NU6.3 de Ironwood-pool als nieuwe afgeschermde pool. Die gebruikt grotendeels dezelfde Orchard-protocolfamilie, maar krijgt een eigen transactiestaat.

De pool heeft een eigen note commitment tree, nullifierset en on-chain balans. Ook komt er een nieuw transactieformaat.

Dat betekent dat Orchard en Ironwood naast elkaar in transacties kunnen bestaan, maar niet dezelfde pool delen.

Vanaf Ironwood wordt de oude Orchard-pool afgesloten voor nieuwe instroom en gewone gebruikersbetalingen. Nieuwe betalingen naar bestaande unified addresses kunnen door geschikte wallets naar Ironwood worden geleid.

Gebruikers hoeven dus niet per se een nieuw Zcash-adres aan te maken. De software moet wel klaar zijn voor Ironwood.

De kern van Ironwood zit in de turnstile.

Dat mechanisme houdt bij hoeveel ZEC een afgeschermde pool binnenkomen en hoeveel eruit gaan. Zo kan de keten controleren dat er niet meer uit een pool komt dan erin hoort te zitten.

Voor Orchard betekent dit dat resterende fondsen alleen via een gecontroleerde uitgang naar Ironwood of een transparant adres kunnen gaan.

Eventuele ongeoorloofde ZEC kunnen daardoor niet vrij als normale munten de actieve circulatie in lopen.

Project Tachyon beschreef dit in zijn uitleg over het controleren van de Orchard-voorraad. De gedachte is niet om achteraf alles in Orchard zichtbaar te maken, maar om de uitgaande balans hard te begrenzen.

Ironwood bewijst niet wie Orchard mogelijk heeft misbruikt. Het voorkomt dat een eventueel overschot ongemerkt blijft meedraaien.

Voor Zcash is dat een belangrijk verschil. Privacy blijft bestaan, maar de geldhoeveelheid moet weer controleerbaar worden.

Gebruikers met ZEC in Orchard moeten hun fondsen uiteindelijk naar Ironwood brengen.

Daar zit een privacyrisico. Het bedrag dat tussen de pools beweegt, is zichtbaar op de blockchain.

De verzendende notes en het ontvangende adres blijven afgeschermd. Maar het gemigreerde bedrag en de blockhoogte zijn openbaar.

Wie zijn volledige saldo in één opvallende transactie overzet, kan daarmee iets over zijn bezit prijsgeven.

ZIP 318 beschrijft daarom een privacyvriendelijkere migratieroute. Wallets kunnen bedragen opdelen in gangbare coupures en transacties spreiden over de tijd.

Wanneer veel wallets hetzelfde patroon volgen, wordt het lastiger om één migratie aan één gebruiker te koppelen.

Gebruikers moeten dus niet alleen controleren of hun wallet Ironwood ondersteunt. Zij moeten ook kijken hoe die wallet Orchard-fondsen migreert.

Ironwood sluit een uitzonderlijk snelle operatie af.

Binnen twee maanden na de melding van Hornby kwam er een noodstop, een reparatie, een nieuw transactieformaat en een nieuwe afgeschermde pool.

Dat is sterk, maar niet schoon. De upgrade bewijst niet dat Orchard nooit is misbruikt.

Wat Ironwood wel doet, is de controle op de circulerende ZEC-voorraad opnieuw naar consensusregels en publiek toetsbare balansen brengen.

Voor een privacycoin is dat de hele strijd. Transacties moeten afgeschermd blijven, maar de geldhoeveelheid mag geen vertrouwensvraag worden.

Zcash heeft de zwaarste twijfel nu ingekapseld. De volgende test ligt bij wallets en gebruikers: Orchard-fondsen veilig, traag en zo privé mogelijk naar Ironwood krijgen.