Zcash sella hoy la piscina que nadie pudo auditar en cuatro años: 1.900 millones en ZEC solo saldrán por un torno que los cuenta en público

Hacia el mediodía UTC de este martes, cuando se mine el bloque 3.428.143, la criptomoneda que existe precisamente para que nadie sepa cuánto tienes va a empezar a publicar cuánto mueve cada uno de sus usuarios. Zcash activa Ironwood, formalmente NU6.3, y con ese bloque sella su principal piscina blindada. A partir de ahí, el dinero que sigue dentro solo puede salir por un contador público.

El motivo de esa contorsión es un fallo que estuvo cuatro años en el código sin que nadie lo viera. En la piscina Orchard hay ahora mismo unos 3,76 millones de ZEC, alrededor de 1.900 millones de dólares, y nadie puede demostrar que todos sean auténticos. No porque haya indicios de que alguien falsificó monedas, sino porque el diseño de Zcash hace imposible comprobarlo mirando la cadena. Ironwood no intenta mirar atrás: pone una puerta de salida única y obliga a que todo lo que pase por ella se deje contar.

Una piscina sellada y una sola salida, contada en voz alta

Ironwood no parchea Orchard. Crea una piscina nueva con el circuito ya corregido y un estado enteramente virgen: según las notas técnicas de Zebra 6.0.0 de la Zcash Foundation, arranca con árbol de compromisos, conjunto de anuladores y saldo de pool propios, y un formato de transacción v6.

Al activarse, la Orchard vieja deja de aceptar depósitos y transferencias internas. Lo que quede dentro solo puede salir cruzando el torno, el mecanismo de contabilidad entre pools que Zcash ya tenía definido en el ZIP 209 y que registra públicamente cuánto sale de un lado y cuánto entra en el otro. La aritmética que impone es elemental: no puede salir de Orchard más ZEC del que legítimamente entró. Si sale más, la discrepancia queda a la vista de cualquiera que ejecute un nodo completo.

Lo que encontraron un auditor y un modelo de IA la noche del 29 de mayo

El viernes 29 de mayo a las 23:53, Taylor Hornby, antiguo ingeniero de seguridad de Electric Coin Company contratado como investigador independiente por Shielded Labs, envió su informe a los ingenieros del Zcash Open Development Lab. Lo que había encontrado estaba dentro del circuito con el que Zcash demuestra que una transacción privada es válida sin revelar nada de ella.

El fallo vivía en el crate halo2_gadgets, en la función que multiplica puntos de curva elíptica. El bucle de duplicar y sumar mantenía constante un punto base por iteración pero nunca verificaba que ese punto estuviera atado al base real, porque las coordenadas se escribían como dato libre en lugar de como valor restringido. Un probador malicioso podía sustituir el punto base por otro, la prueba seguía pasando la verificación y el anulador derivado de ella era falso. Los anuladores son justo la pieza que evita gastar dos veces la misma nota.

Esa clase de error tiene nombre y estadística. Un estudio presentado en USENIX Security 2024 concluyó que cerca del 96% de los fallos documentados en la capa de circuito de sistemas SNARK son circuitos infrarrestringidos, exactamente lo que sobrevivió aquí cuatro años y varias auditorías. El detalle que explica por qué apareció ahora: Hornby lo cazó con un marco de auditoría asistida por inteligencia artificial construido sobre Claude Opus 4.8, publicado el día anterior. El mismo razonamiento precipitó la jubilación de zcashd, la implementación en C++ de toda la vida, cuya documentación cita sin rodeos el riesgo que ese código base supone frente a los avances de la IA.

El parche cerró el agujero; la privacidad impidió mirar hacia atrás

La respuesta fue rápida y en dos tiempos. Un soft fork activado entre el 1 y el 2 de junio prohibió nuevas salidas y gastos en Orchard sin revelar en el parche de qué iba el problema, y el 3 de junio un hard fork, NU6.2, desplegó el circuito corregido y devolvió Orchard a la normalidad. Lo que ese parche no podía hacer era rebobinar. Una transacción blindada no deja metadatos fuera de la prueba: ni emisor, ni receptor, ni importe. Eso es lo que la hace privada y también lo que la hace imposible de auditar desde fuera.

El propio torno del ZIP 209 no detectó creación de valor no autorizada y el techo de 21 millones parecía intacto, dijo entonces ZODL. Pero "no hay indicios" y "está demostrado" no son lo mismo, y ese hueco es todo lo que Ironwood viene a cerrar.

La certeza se paga en privacidad

Aquí está la incomodidad de fondo, y no es menor para una moneda cuyo argumento de venta es el anonimato: todo importe que salga de Orchard será público. Zooko Wilcox-O'Hearn, fundador de Zcash, lo dice sin adornos en el hilo de explicación a los usuarios. Cualquiera podrá ver la cantidad de todos los fondos que salgan de la piscina, y eso es intencionado, porque es lo que permite verificar cuánto sale. A eso se suma que el servidor ligero al que se conecta el monedero ve la dirección IP del usuario al mismo tiempo que ese importe.

El riesgo concreto lo describió Dev Ojha, del Valar Group: un tenedor que compró 1.000 dólares en un exchange con KYC y un millón en otro sin KYC, y que después consolidó sus notas, revela su saldo entero si migra todo de una vez. Con una suma de subconjuntos, quien tenga su documento de identidad robado puede atar ese millón a su nombre y su dirección. Por eso Ironwood permite que los monederos hagan cambio a sí mismos dentro de Orchard, para trocear la migración, y por eso el consejo oficial es no tener prisa y activar Tor o Nym antes de mover nada. Ya hay estafadores haciéndose pasar por soporte técnico de la migración.

Quien hubiera explotado el fallo se queda con dos opciones: intentar mover los fondos falsos y arriesgarse a exponer su existencia, o dejarlos quietos y arriesgarse a no poder moverlos nunca.

La otra cara: ni fue emisión ilimitada ni se resuelve hoy

Conviene bajar el titular a su tamaño real. El aviso de seguridad publicado en el repositorio de Zebra aclara que la oferta total estaba protegida por el propio torno, que acota el valor que puede salir de cualquier pool, de modo que una inflación ilimitada del suministro global no era posible. La exposición era la inflación de valor dentro de Orchard hasta el límite que el torno permite. Es grave, pero no es acuñar ZEC sin techo.

Tampoco hay un momento de revelación. La claridad llegará por goteo, a medida que los tenedores migren, y eso puede llevar semanas o meses. Hay incluso un escenario en el que la pregunta no se responde nunca: si un falsificador decide no cruzar, sus monedas quedan congeladas y el suministro queda a salvo, pero sin veredicto. Las notas recuperables ante la cuántica que introduce el ZIP 2005 tampoco son resistencia cuántica, sino la opción de rescatar fondos si la criptografía de curva elíptica cae algún día. El trabajo posquántico de verdad va para más adelante, en la línea de lo que Ethereum se ha puesto en la agenda.

El mercado, mientras tanto, no celebra nada. ZEC se dejó cerca del 50% al hacerse pública la vulnerabilidad, de 602,68 a 299,25 dólares, y llega a la activación en 477,89 dólares, un 5,1% menos en 24 horas, con toda la tabla en rojo antes de la reunión de la Fed y el bitcoin en 63.391 dólares. Que un fallo de esta familia se encuentre y se corrija en 60 días no es mala noticia para una red: es el patrón que ya vimos cuando unos investigadores rompieron Aptos con un servidor de 3.000 dólares. Lo que decidirá si Ironwood funciona no es el precio de esta semana, sino la aritmética del torno dentro de dos meses.

Datos y fuentes: Zcash Community Forum, Shielded Labs, Zcash Open Development Lab, Zcash Foundation (Zebra 6.0.0 y aviso GHSA-ww9q-8r59-xv46), ZIP 209, ZIP 2005, USENIX Security 2024, TechTimes, The Crypto Times, The Cryptonomist, KuCoin, Bitget.