Respuesta del cofundador de ZEC a la vulnerabilidad de Orchard: sin rastros de robo por ahora, se cerrará el pool de Orchard

Foresight NewsPublicado a 2026-06-15Actualizado a 2026-06-15

Resumen

El cofundador de ZEC responde a la vulnerabilidad de Orchard: Sin rastros de robo por ahora, se cerrará el pool de Orchard Recientemente se descubrió una vulnerabilidad de seguridad en el módulo Orchard de Zcash. El equipo evaluó cuatro preguntas clave: 1. **¿Se ha explotado la vulnerabilidad?** Es poco probable. Fue descubierta proactivamente por un investigador especializado, no por una explotación. El equipo actuó rápidamente para contenerla. No hay evidencia de movimientos sospechosos típicos de un ataque. 2. **¿Se pueden recuperar los fondos legítimos en Orchard?** Sí, si la vulnerabilidad no fue explotada. En el improbable caso de que se crearan fichas falsas, el mecanismo de salida limitaría el total retirable al monto depositado originalmente. Los usuarios pueden optar por trasladar sus fondos, pero deben sopesar las implicaciones de privacidad y riesgos operativos. 3. **¿Pueden los usuarios verificar la oferta total de ZEC?** Actualmente no, debido a esta vulnerabilidad. Sin embargo, la próxima actualización de red **Ironwood** resolverá esto. Cerrará permanentemente el pool de Orchard, permitiendo solo la salida de fondos por los canales existentes, cuyo límite total es igual a los depósitos legítimos originales. Después, cualquiera podrá verificar de forma independiente que no hay inflación de la oferta. 4. **¿Hay otras vulnerabilidades de falsificación?** Tras una exhaustiva auditoría por múltiples equipos, incluyendo el uso de herramientas de IA avanzada...


Autores: Zooko Wilcox, Jason McGee

Traducción: Luffy, Foresight News


Recientemente, se descubrió una vulnerabilidad de seguridad en el módulo Orchard de Zcash, lo que ha generado dos grandes preocupaciones: ¿La oferta total de Zcash es anormal? ¿Están seguros los activos de los usuarios?


Actualmente, diversos debates mezclan múltiples temas diferentes, lo que dificulta que muchas personas comprendan el impacto real de esta vulnerabilidad en los usuarios comunes. Este artículo explorará estas preguntas, interpretando una por una el significado detrás de ellas.


Esta vulnerabilidad de Orchard plantea principalmente cuatro interrogantes clave:


  1. ¿Ha sido explotada la vulnerabilidad por hackers?
  2. ¿Podrán recuperarse los activos legítimos que los usuarios tienen depositados en Orchard?
  3. ¿Pueden los usuarios verificar por sí mismos que la oferta total de Zcash no ha sido manipulada?
  4. ¿Cómo confirmar que el proyecto no tiene otras vulnerabilidades similares de falsificación?


¿Se ha explotado la vulnerabilidad?


Por ahora, no hay una conclusión definitiva. En general, es baja la probabilidad de que la vulnerabilidad haya sido explotada maliciosamente antes, pero no podemos descartar al 100% esta posibilidad, basándonos principalmente en tres puntos:


  • Durante años, numerosos expertos criptográficos e investigadores de seguridad de primer nivel en todo el mundo han estado revisando el código de Zcash, y esta vulnerabilidad nunca fue descubierta. Esta vulnerabilidad fue encontrada activamente por Taylor Hornby de Shielded Labs al realizar una revisión, no fue expuesta accidentalmente. Utilizó tecnologías de detección de seguridad con inteligencia artificial y herramientas propias, específicamente para descubrir este tipo de defectos ocultos. Este tipo de vulnerabilidades tiene un alto umbral de dificultad, y es difícil para personas no especializadas en el código de Zcash encontrarlas y explotarlas.
  • Tras la divulgación de la vulnerabilidad, el equipo de desarrollo de Zcash, junto con los principales pools de minería, congeló temporalmente el pool de fondos de Orchard y empujó una corrección, reduciendo significativamente la ventana de ataque para los hackers.
  • La mayoría de los ataques en el ámbito de las criptomonedas tienen como objetivo un beneficio rápido; una vez que se hace pública una vulnerabilidad, los hackers suelen monetizar inmediatamente. Para beneficiarse de esta vulnerabilidad, un hacker necesitaría transferir los ZEC falsificados fuera del pool de fondos de Orchard y cambiarlos por otros activos, operaciones que generalmente dejan rastros. Si la vulnerabilidad hubiera sido explotada antes, ya deberían existir evidencias. A lo largo de la historia de la industria, los hackers básicamente "actúan y se retiran rápidamente", sin ocultarse deliberadamente durante meses o incluso años.


¿Se pueden recuperar los activos legítimos dentro de Orchard?


Creemos que sí, pueden recuperarse con normalidad, suponiendo que la vulnerabilidad nunca haya sido explotada. Si este juicio es correcto, todos los activos legítimos que los usuarios tienen depositados en Orchard podrán ser retirados sin problemas.



Por el contrario, si un hacker ya ha explotado la vulnerabilidad para crear tokens falsos y los ha ingresado al pool de fondos, los canales de transferencia existentes limitarían el monto total que se puede retirar, estableciendo un límite máximo igual a la cantidad total de tokens depositados legítimamente en un principio. En este escenario, si los tokens falsos se retiran primero, algunos usuarios podrían no poder recuperar la totalidad de sus activos legítimos.



Consideramos que la probabilidad de que ocurra este escenario extremo es baja. Si aún existen preocupaciones, se pueden transferir los activos fuera del pool de Orchard, pero antes de hacerlo, es importante comprender los riesgos potenciales de los diferentes métodos de retiro:


  • Transferir a una dirección transparente (dirección t): El monto y el momento de la transferencia quedarán completamente públicos, y los activos quedarán públicamente asociados a esa dirección, perdiendo por completo su privacidad.
  • Transferir al pool de privacidad Sapling: El monto y el momento de la transferencia aún se registrarán, pero no vincularán los activos a una dirección específica o a su historial de transacciones, ofreciendo una privacidad superior a la de una dirección transparente. Es importante señalar que Sapling depende de la ceremonia de configuración confiable completada en 2018, lo que en sí mismo representa un riesgo de seguridad adicional.
  • Monederos (wallets): Entre los monederos de custodia propia más comunes, solo YWallet y Zkool admiten actualmente el pool Sapling.
  • Otros monederos o plataformas de custodia: También pueden ocurrir errores operativos, fallos de software, controles de riesgo de la plataforma y otros problemas inesperados.


En general, estos riesgos son manejables. Combinando esto con el juicio de que "es muy probable que la vulnerabilidad no haya sido explotada", dejar los activos en la billetera de privacidad original es una opción segura. Si se puede garantizar la seguridad de la operación, retirar los activos también es una posibilidad, cada usuario puede decidir según su propia situación.


¿Pueden los usuarios verificar por sí mismos que la oferta total de Zcash no ha sido aumentada?


Por el momento, no es posible. Debido a la existencia de esta vulnerabilidad, los usuarios comunes no pueden verificar de manera independiente si la oferta total de tokens dentro del pool de privacidad ha sido aumentada.



Sin embargo, la actualización de red Ironwood planificada por el proyecto resolverá este problema, siguiendo la lógica específica que se describe a continuación:



Esta actualización cerrará definitivamente el pool de Orchard, no permitiendo nuevas entradas de activos, y los tokens dentro del pool tampoco podrán circular internamente; todos los activos solo podrán retirarse a través de los canales originales. Y la suma total que puede salir a través de estos canales es estrictamente igual a la cantidad de tokens depositados legítimamente en un principio, impidiendo desde la raíz una salida excesiva de tokens.


Una vez completada la actualización, cualquier persona que ejecute un nodo podrá verificar la conformidad de la oferta total de tokens. Incluso si hubieran existido tokens falsos antes, no podrán seguir circulando dentro del pool de Orchard, inflando la oferta total. Los usuarios no tendrán que adivinar las acciones de hackers u otros usuarios; el protocolo en sí garantizará que no ocurra una sobre-emisión de tokens.


Este punto es crucial. La credibilidad a largo plazo de Zcash se basa en que los usuarios puedan verificar de manera autónoma la oferta total de tokens. La actualización Ironwood restaurará esta capacidad a los usuarios.


¿Cómo confirmar que el proyecto no tiene otras vulnerabilidades de falsificación de tokens?


En esta etapa, no podemos dar una respuesta absoluta, pero tenemos razones para creer que ya no existen vulnerabilidades similares.


Shielded Labs, junto con varios equipos, ha llevado a cabo una revisión exhaustiva del protocolo Zcash, centrándose en buscar vulnerabilidades del tipo de falsificación de tokens. Durante este proceso, el equipo también utilizó el modelo de inteligencia artificial Mythos de Anthropic, aún no lanzado oficialmente, para ayudar en la detección. Posteriormente publicaremos un artículo que detalle el proceso y los resultados de esta revisión.


Hasta la fecha, el equipo no ha encontrado nuevas vulnerabilidades de falsificación. Esta revisión reunió a técnicos experimentados, equipos de seguridad especializados y herramientas avanzadas de análisis con IA, lo que nos hace estar más seguros de que actualmente no existen vulnerabilidades críticas similares que no hayan sido reveladas.


Al mismo tiempo, también estamos colaborando con socios como el proyecto Tachyon para realizar pruebas adicionales, fortaleciendo aún más las defensas de seguridad, y los avances relacionados también se anunciarán posteriormente.


Resumen


Esta vulnerabilidad de Orchard plantea cuatro preguntas centrales: si la vulnerabilidad fue explotada, si los activos legítimos se pueden recuperar, si la oferta total de tokens se puede verificar y si existen otras vulnerabilidades de falsificación.


Basándonos en los resultados de la revisión actual, juzgamos que es baja la probabilidad de que la vulnerabilidad haya sido explotada anteriormente, por lo tanto, los activos de los usuarios están seguros y la oferta total de tokens también se mantiene normal por ahora. Tras repetidas pruebas por múltiples equipos independientes, también estamos cada vez más seguros de que por el momento no existen otras vulnerabilidades de falsificación no reveladas en el proyecto.


Pero hay algo que no se puede evitar: actualmente los usuarios aún no pueden verificar de manera autónoma la oferta total de tokens. La próxima actualización de la red resolverá completamente este problema. Después de la actualización, el pool de Orchard se cerrará permanentemente, y los usuarios podrán verificar de forma independiente la oferta total de tokens, sin tener que juzgar si ha ocurrido una falsificación de tokens.

Preguntas relacionadas

Q¿Se ha explotado la vulnerabilidad en el módulo Orchard de Zcash y cuáles son las razones para creer que probablemente no?

AActualmente no hay evidencia concluyente de que la vulnerabilidad haya sido explotada, pero se considera baja la probabilidad. Esto se basa en tres factores: 1) La vulnerabilidad fue descubierta proactivamente por un experto usando herramientas especializadas, no por una exposición accidental o un ataque. 2) El equipo de desarrollo actuó rápidamente para congelar el pool de Orchard y aplicar un parche, reduciendo la ventana de oportunidad para un atacante. 3) Los ataques en criptomonedas suelen buscar un beneficio rápido y dejarían rastros (como ZEC falsos moviéndose fuera del pool). No se han observado tales evidencias.

Q¿Los usuarios pueden retirar sus activos legítimos del pool Orchard y cuáles son las opciones y riesgos?

ASí, los usuarios pueden retirar sus activos legítimos, asumiendo que la vulnerabilidad no fue explotada. Si así fuera, podrían retirarlos sin problema. Existen opciones de retiro con distintos perfiles de riesgo: transferir a una dirección transparente (t-addr) que pierde privacidad, transferir al pool de privacidad Sapling (mantiene más privacidad pero depende de una ceremonia de configuración confiable de 2018), o usar billeteras como YWallet y Zkool. El artículo concluye que, dado que es probable que la vulnerabilidad no haya sido usada, dejar los activos en la billetera original es una opción segura.

Q¿Pueden los usuarios verificar por sí mismos que la oferta total de ZEC no ha sido manipulada (inflada) debido a esta vulnerabilidad?

AActualmente, no. Debido a la existencia de esta vulnerabilidad, los usuarios ordinarios no pueden verificar de forma independiente si la cantidad total de monedas en el pool de privacidad ha sido aumentada fraudulentamente. Sin embargo, la próxima actualización de la red, Ironwood, resolverá este problema al cerrar permanentemente el pool Orchard. Después de la actualización, cualquier persona que ejecute un nodo podrá verificar que la cantidad total de ZEC es correcta, ya que el protocolo evitará que se retiren más monedas de las que se depositaron legítimamente.

Q¿Qué medidas se están tomando para asegurar que no existan otras vulnerabilidades similares de creación falsa de monedas en Zcash?

AShielded Labs, en colaboración con otros equipos, ha realizado una revisión exhaustiva del protocolo Zcash centrada específicamente en buscar vulnerabilidades que permitan la falsificación de monedas. Para esta revisión, utilizaron herramientas avanzadas, incluido el modelo de inteligencia artificial Mythos de Anthropic. Hasta ahora, no se han encontrado nuevas vulnerabilidades de este tipo. Además, se están realizando auditorías adicionales en colaboración con socios como el proyecto Tachyon. Los resultados detallados de estas revisiones se publicarán en el futuro.

Q¿Cuál es la solución a largo plazo para restablecer la confianza en la integridad de la oferta monetaria de Zcash tras esta vulnerabilidad?

ALa solución a largo plazo es la actualización de la red Ironwood. Esta actualización cerrará permanentemente el pool Orchard, impidiendo nuevos depósitos y permitiendo solo retiros a través de canales que limitan la salida a la cantidad de monedas depositadas legítimamente. Esto restaurará la capacidad de cualquier usuario para verificar de forma independiente y sin necesidad de confiar en terceros que la oferta total de ZEC no ha sido inflada, lo cual es fundamental para la credibilidad a largo plazo de Zcash.

Lecturas Relacionadas

Los modelos lingüísticos más avanzados comienzan a ser controlados como uranio enriquecido

El viernes pasado, la administración estadounidense emitió una orden de control de exportaciones que prohibía a cualquier ciudadano extranjero acceder a los modelos de IA Fable 5 y Mythos 5 de Anthropic. Esto llevó a la empresa a desconectar globalmente estos modelos, recién lanzados, al no poder verificar en tiempo real la nacionalidad de los usuarios. Por primera vez, una entidad de inteligencia en forma de bits se incluye en un marco de control similar al del uranio enriquecido. Históricamente, los controles se aplicaban a objetos físicos o fórmulas (por ejemplo, centrifugadoras o algoritmos). Sin embargo, Fable 5 es un conjunto de parámetros digitales, infinitamente replicable y sin fronteras físicas. Lo que realmente se controla es la "densidad de capacidades" que estos parámetros condensan: habilidades de generación de código, razonamiento y conocimiento multidisciplinar. La analogía es clara: así como el uranio natural no está controlado pero su versión enriquecida sí, las capacidades de IA, dispersas en bibliotecas de código abierto, son libres, pero su concentración en un único punto de acceso las convierte en un objetivo de restricción. Este evento prefigura tres posibles desarrollos en la próxima década: 1) La institucionalización de la revisión de capacidades de los modelos, con listas y umbrales que activarían controles automáticos. 2) La expansión y difuminación de la jurisdicción, donde las leyes estadounidenses podrían aplicarse extraterritorialmente a usuarios globales. 3) Una bifurcación tecnológica, con un camino de modelos cerrados (avanzados pero con riesgo de desconexión) y otro de modelos abiertos o locales (más fiables por no estar sujetos a esos riesgos). El episodio revela una crisis más profunda: la falta de un régimen de propiedad intelectual para la "inteligencia" digital. Legalmente, los modelos se venden como un servicio revocable. Las empresas que los integran en sus procesos productivos asumen un riesgo enorme, ya que su inversión queda desprotegida frente a una posible desconexión. El mundo digital podría dividirse permanentemente, donde la utilidad y claridad de propiedad de un modelo lleguen a ser más importantes que su mera superioridad técnica puntual.

marsbitHace 9 min(s)

Los modelos lingüísticos más avanzados comienzan a ser controlados como uranio enriquecido

marsbitHace 9 min(s)

El CEO de Microsoft escribe un extenso artículo: En el futuro habrá dos tipos de capital, capital humano + capital Token

El CEO de Microsoft, Satya Nadella, publicó un extenso hilo en X titulado "Una frontera sin un ecosistema no es estable", que superó los 28 millones de visitas. En él, reflexiona sobre el futuro de las empresas en la era de la IA y advierte sobre un cambio fundamental: la IA puede "absorber" y "comercializar" los conocimientos especializados de las empresas, centralizando el valor en unos pocos modelos dominantes. Nadella argumenta que, para prosperar, cada empresa debe construir dos formas de capital: el Capital Humano (conocimiento, juicio, relaciones y creatividad de los empleados) y el Capital Token (capacidades de IA propias y controladas). La clave no es elegir el mejor modelo, sino establecer un "ciclo de aprendizaje" donde ambos tipos de capital se potencien mutuamente, creando una ventaja competitiva única y compuesta. Este sistema, comparable a un "simulador de escalada", permitiría a las empresas conservar su propiedad intelectual y conocimiento acumulado incluso si cambian los modelos de IA subyacentes. Nadella advierte firmemente contra un futuro donde unas pocas IA capturen todo el valor económico, vaciando industrias enteras, un escenario que considera social y políticamente insostenible. El llamado final es a construir un "ecosistema fronterizo" donde el valor fluya ampliamente. Las plataformas deben generar más valor del que capturan internamente, permitiendo que cada organización innove y cree su propio valor, beneficiando a sus empleados y a la economía en su conjunto para lograr un equilibrio estable.

marsbitHace 37 min(s)

El CEO de Microsoft escribe un extenso artículo: En el futuro habrá dos tipos de capital, capital humano + capital Token

marsbitHace 37 min(s)

De una valoración de 300 millones a una «venta» por unos pocos millones: ¿qué le pasó a Messari?

El 12 de junio, la plataforma líder de datos y capitales de cripto Blockworks anunció la adquisición de su competidor de largo tiempo, Messari, por un valor que supera los 10 millones de dólares. Messari había alcanzado una valoración de aproximadamente 300 millones en 2022, por lo que el precio de venta actual representa un fuerte descuento, reflejando las presiones que enfrentan las startups con alta valoración en el profundo mercado bajista y la ola de consolidación en el sector de infraestructura de datos. Blockworks, fundada en 2018, ha evolucionado de un enfoque en medios y eventos hacia una plataforma de inteligencia de mercados de capitales on-chain, con fortalezas en la relación con emisores, cumplimiento normativo y herramientas institucionales. Messari, también fundada en 2018, se especializó en investigación y análisis de datos de criptomonedas de grado profesional, alcanzando gran reconocimiento. La transacción integra los activos centrales de Messari, incluida su plataforma de datos y API, en el ecosistema de Blockworks. El objetivo declarado es construir un "sistema de registro único" para los mercados on-chain, combinando las capacidades de datos y API de Messari con las ventajas de Blockworks en divulgación de emisores, relaciones con inversores y flujos de trabajo de cumplimiento. El fondo detrás de la operación apunta a una corrección de las valoraciones infladas durante la etapa alcista, y a la creciente necesidad del mercado de datos estandarizados, accesibles y confiables, especialmente con la aceleración de la adopción institucional y el auge de sectores como las monedas estables y los RWA. La consolidación en el ámbito de los datos e investigación de cripto parece ser un camino para navegar la volatilidad del ciclo y construir ventajas competitivas duraderas.

marsbitHace 38 min(s)

De una valoración de 300 millones a una «venta» por unos pocos millones: ¿qué le pasó a Messari?

marsbitHace 38 min(s)

Si la burbuja de la IA ya está estallando, ¿quiénes quedarán realmente?

La burbuja de la IA: ¿quién sobrevivirá cuando estalle? La burbuja de la IA se está convirtiendo en el consenso más divisivo del mercado global. Por un lado, existe un claro sobrecalentamiento especulativo, con una inversión masiva en infraestructura (centros de datos, energía, módulos ópticos, GPUs) que aún no se refleja plenamente en los ingresos de las aplicaciones. Por otro, la revolución de la productividad impulsada por la IA es una realidad incipiente, comparable al inicio de la era de internet. El debate actual recuerda a la burbuja de las puntocom del año 2000. Aunque aquel estallido provocó una caída masiva del mercado y la desaparición de muchas empresas, dejó una infraestructura física clave (fibra óptica, redes de banda ancha) que impulsó la próxima generación de gigantes tecnológicos. De manera similar, hoy se observa una desconexión: se proyecta que el gasto de capital en infraestructura de IA para 2026 alcance los 690.000 millones de dólares, mientras que los ingresos de las principales empresas de IA pura apenas rozarían los 40.000 millones. Sin embargo, un factor crucial modifica la ecuación: el desplome del costo de la inteligencia. El precio por procesar un millón de tokens ha caído más de un 99.7% desde 2023, acercando el coste marginal de la "inteligencia" a casi cero. Esto no ha reducido el gasto empresarial en IA, sino que lo ha multiplicado, ya que desbloquea una demanda masiva de aplicaciones de larga cola anteriormente inviables. Las empresas ya no se preguntan si usar IA, sino cómo optimizar su integración en flujos de trabajo reales de código, medicina, finanzas, legal o investigación. El mercado ya está en un proceso de purga, eliminando a empresas sin propuesta de valor real ("capas de API" o "PPT"). La evolución profunda pasa de la euforia por la infraestructura (CapEx) a la creación de valor en la capa de aplicación (OpEx). Aquellas empresas capaces de resolver problemas verticales específicos y redefinir procesos empresariales con IA nativa serán las que perduren. En conclusión, aunque la burbuja especulativa puede desinflarse, la transformación subyacente es imparable. Al igual que tras el 2000 todas las industrias se volvieron digitales, ahora avanzamos irreversiblemente hacia una era en la que todas estarán impregnadas e impulsadas por la inteligencia artificial. El ruido de la burbuja pasará; el potencial transformador de la productividad perdurará.

marsbitHace 1 hora(s)

Si la burbuja de la IA ya está estallando, ¿quiénes quedarán realmente?

marsbitHace 1 hora(s)

Trading

Spot
Futuros

Artículos destacados

Cómo comprar ZEC

¡Bienvenido a HTX.com! Hemos hecho que comprar Zcash (ZEC) sea simple y conveniente. Sigue nuestra guía paso a paso para iniciar tu viaje de criptos.Paso 1: crea tu cuenta HTXUtiliza tu correo electrónico o número de teléfono para registrarte y obtener una cuenta gratuita en HTX. Experimenta un proceso de registro sin complicaciones y desbloquea todas las funciones.Obtener mi cuentaPaso 2: ve a Comprar cripto y elige tu método de pagoTarjeta de crédito/débito: usa tu Visa o Mastercard para comprar Zcash (ZEC) al instante.Saldo: utiliza fondos del saldo de tu cuenta HTX para tradear sin problemas.Terceros: hemos agregado métodos de pago populares como Google Pay y Apple Pay para mejorar la comodidad.P2P: tradear directamente con otros usuarios en HTX.Over-the-Counter (OTC): ofrecemos servicios personalizados y tipos de cambio competitivos para los traders.Paso 3: guarda tu Zcash (ZEC)Después de comprar tu Zcash (ZEC), guárdalo en tu cuenta HTX. Alternativamente, puedes enviarlo a otro lugar mediante transferencia blockchain o utilizarlo para tradear otras criptomonedas.Paso 4: tradear Zcash (ZEC)Tradear fácilmente con Zcash (ZEC) en HTX's mercado spot. Simplemente accede a tu cuenta, selecciona tu par de trading, ejecuta tus trades y monitorea en tiempo real. Ofrecemos una experiencia fácil de usar tanto para principiantes como para traders experimentados.

675 Vistas totalesPublicado en 2024.12.12Actualizado en 2026.06.02

Cómo comprar ZEC

Discusiones

Bienvenido a la comunidad de HTX. Aquí puedes mantenerte informado sobre los últimos desarrollos de la plataforma y acceder a análisis profesionales del mercado. A continuación se presentan las opiniones de los usuarios sobre el precio de ZEC (ZEC).

活动图片