Zcash 抢修隐藏的“伪造”漏洞——为什么“能核对总量”对隐私币也重要

知名隐私币 Zcash（大零币）正准备一次名为 Ironwood 的网络升级，用来堵上一个隐藏漏洞：理论上，有人本可以凭它凭空造出假的 ZEC 而不被任何人发现。开发者说升级已接近测试网试运行，但更棘手的部分——让交易所、钱包和矿池都换上新软件——可能拖慢进度。

今年5月，研究者披露了 Zcash 主要隐私交易池 Orchard 中一个存在了四年的漏洞。安全研究员 Taylor Hornby 借助 Anthropic 的 Claude Opus 4.8 发现了它。该漏洞本可让人在池中无限制地“铸造”假 ZEC 而不被察觉。开发者已于6月1日修补，并称没有证据表明它曾被利用。

麻烦在于，让 Zcash 有吸引力的隐私特性，同样让它难以事后核查：交易细节被隐藏得太好，以至于没人能证明当初到底有没有造出假币。价格仍随之震荡——ZEC 两天内从600多美元跌到约300美元的低点，近期回到约457美元。

Ironwood 会开启一个新的隐私池，并加入一道“记账关卡”：资金离开旧的 Orchard 池时必须通过核对，确保流出的 ZEC 不会多于当初存入的数量。这样任何人都能确认流通总量仍在 Zcash 设定的上限之内，同时又不暴露谁持有多少。

与此同时，Zcash 正用一套新软件（Zebra 节点、Zaino 索引、Zallet 钱包）替换旧的 zcashd。Shielded Labs 的 Jason McGee 说，部分交易所和钱包预计7月底能就绪，另一些则需更多时间，是否延期尚未最终定案。联合创始人 Zooko Wilcox 表示，安全审查目前没有发现其他严重漏洞。

对新手来说，值得记住的不是价格起落，而是“我能不能核对总供应量”本身就是个真问题，哪怕对一枚主打隐私的币也一样。如果你持有 ZEC，请留意 Zcash 官方渠道发布的钱包升级说明，只使用你钱包服务商的官方更新，绝不要因为陌生人催促就仓促迁移。