Editado | Grok y otros
Zcash, como un proyecto destacado en el ámbito de las criptomonedas, es conocido por su potente funcionalidad de transacciones encriptadas (shielded transactions). Estas transacciones utilizan la tecnología de prueba de conocimiento cero (Zero-Knowledge Proof, ZKP), permitiendo a los usuarios realizar transferencias sin revelar detalles específicos como montos o direcciones, protegiendo así su privacidad.
En abril y mayo de 2026, el precio de ZEC experimentó un aumento significativo, llegando a dispararse hasta un 150%, con una capitalización de mercado superando los 10 mil millones de dólares. Con el endurecimiento de la regulación global y el aumento de la transparencia en la cadena, los usuarios han aumentado sus preocupaciones sobre los activos "recuperables/monitoreables". El pool de privacidad de Zcash (especialmente el pool de Orchard) ofrece protección de privacidad opcional, atrayendo a los inversores que buscan activos "resistentes a la censura y recuperación". Instituciones como Multicoin Capital han posicionado claramente a ZEC como un regreso a los ideales cypherpunk, enfatizando que en la era de las finanzas en la cadena, la privacidad será una necesidad central. Esta narrativa resuena con el entorno de mercado más amplio (como las discusiones sobre el posible impuesto a la riqueza), impulsando el flujo de capital.
Cypherpunk Technologies (apoyado por Winklevoss) ha aumentado su posición, habiendo comprado una gran cantidad de ZEC, poseyendo alrededor del 1.7%-2% del suministro total, convirtiéndose en un importante tenedor institucional. Los gemelos Winklevoss (fundadores de Gemini) han apoyado a Zcash durante mucho tiempo, habiendo donado varias veces y aumentando sus posiciones a través de sus entidades. Foundry Digital lanzó un pool de minería de ZEC de nivel institucional; el Maelstrom Fund (asociado con Arthur Hayes) también ha incrementado su participación. Grayscale ha presentado una solicitud para convertir el Zcash Trust en el primer ETF de criptomonedas de privacidad en EE. UU. (ticker potencial ZCSH). Si se aprueba, proporcionará una entrada regulada para fondos institucionales, atrayendo decenas de miles de millones.
Sin embargo, recientemente, el último pool de privacidad de Zcash, Orchard, explotó con una vulnerabilidad significativa, provocando una fuerte oscilación en el mercado. El equipo tomó rápidamente medidas de emergencia, deshabilitando temporalmente las transacciones relacionadas a través de un soft fork y luego completando una reparación mediante un hard fork. Durante todo el proceso, no se encontraron signos de explotación real, pero las características de diseño de privacidad también han planteado desafíos para la verificación de la integridad del suministro. Este artículo, basado en anuncios oficiales, foros de desarrolladores y medios de comunicación confiables, presenta una línea de tiempo detallada y explica términos técnicos clave.
¿Qué es el pool Orchard? ¿Por qué es tan importante?
Orchard es el pool de protección más reciente que Zcash lanzó en mayo de 2022 a través de la actualización de la red NU5. A diferencia de los pools anteriores Sprout y Sapling, Orchard se basa en el sistema de prueba Halo 2, una tecnología avanzada de prueba de conocimiento cero que no requiere una configuración de confianza (trusted setup), lo que mejora significativamente la eficiencia y escalabilidad de la privacidad.
Al momento de la divulgación de la vulnerabilidad, el pool Orchard tenía más de 4.5 millones de ZEC, representando una proporción importante del suministro total, valorada en decenas de miles de millones. Es el núcleo de la arquitectura de privacidad de Zcash, pero los complejos circuitos de conocimiento cero también presentan desafíos de auditoría a largo plazo.
Esencia de la vulnerabilidad: Detalles del Bug de Solidez
La vulnerabilidad es un bug de soundness (solidez) que se encuentra en el circuito de Orchard Action (el circuito de prueba de conocimiento cero que maneja las acciones de transacción protegidas). Específicamente, se trata de una subrestricción (under-constrained) en el circuito que permite la generación de pruebas inválidas que pueden ser aceptadas por la red.
Explicación sencilla: en un sistema de prueba de conocimiento cero, la 'solidez' asegura que solo las transacciones legítimas puedan pasar la verificación. Si hay un problema con la solidez, un atacante podría teóricamente falsificar pruebas, realizando un doble gasto (double-spending) dentro del pool Orchard o acuñando ZEC falsos sin ser detectado. Esta vulnerabilidad ha estado latente desde que Orchard se lanzó en 2022, durante casi 4 años.
Es importante destacar que, debido al mecanismo de turnstile de Zcash (un sistema de verificación de contabilidad entre pools), incluso si hay anomalías en el pool Orchard, el suministro total no se inflará indefinidamente — el turnstile limitará el valor que sale del pool a no más que el valor que entra. Pero la característica de privacidad dificulta a los externos demostrar al 100% que el pool nunca ha sido explotado.
Proceso de descubrimiento de la vulnerabilidad (29 de mayo)
El 29 de mayo de 2026: el investigador de seguridad independiente Taylor Hornby (ex ingeniero de seguridad de Electric Coin Company, encargado por Shielded Labs para realizar la auditoría del protocolo) descubrió la vulnerabilidad durante una auditoría de rutina. Con la ayuda del modelo de IA Claude Opus 4.8 recién lanzado por Anthropic, analizó el circuito y logró construir un exploit completo en un entorno de prueba local, generando ZEC falsos infinitos.
Hornby divulgó la información en privado el mismo día a Zcash Open Development Lab (ZODL) y a la Fundación Zcash. El equipo inmediatamente activó un procedimiento de respuesta de emergencia, coordinando a mineros, intercambios y operadores de nodos.
Fase uno de la respuesta de emergencia: soft fork para deshabilitar Orchard (1-2 de junio)
Coordinación privada comenzó la noche del 31 de mayo. El primer intento de soft fork enfrentó problemas de coordinación en el despliegue, y el equipo iteró rápidamente.
El 2 de junio de 2026 (aproximadamente UTC 2:00, altura de bloque de la mainnet 3,363,426): se desplegaron actualizaciones de emergencia como Zebra 4.5.3, activando un soft fork de emergencia. La red requería que los nodos y mineros rechazaran todas las transacciones y bloques que contenían acciones de Orchard, deshabilitando temporalmente las transacciones de Orchard (las transacciones de Sapling y transparentes no se vieron afectadas). Esta medida busca prevenir posibles explotaciones durante el período de reparación.
La red de transición experimentó una breve inestabilidad, con múltiples cadenas competitivas y bloques huérfanos. Funciones de ZEC en billeteras como Cake Wallet se vieron temporalmente limitadas, pero la cadena en general no dejó de operar.
Fase dos de la respuesta de emergencia: corrección del hard fork NU6.2 (3 de junio)
El 3 de junio de 2026 (aproximadamente EDT 00:05, altura de bloque de la mainnet 3,364,600): activación del hard fork NU6.2, apoyado por Zebra 5.0.0. Esta actualización desplegó el circuito de Orchard Action corregido, introduciendo una nueva clave de verificación por circuito (per-circuit verifying key), reactivando las transacciones de Orchard.
Desde la divulgación hasta la recuperación completa, solo pasaron aproximadamente 5 días, lo que marca la segunda vez en la historia de Zcash que se realiza una actualización del protocolo impulsada por la seguridad. ZODL y la fundación confirmaron: sin pérdida de fondos, sin creación de valor no autorizado, el mecanismo de turnstile no detectó anomalías, y la privacidad y seguridad de los fondos de los usuarios permanecen intactas.
Reacción del mercado e impacto en la comunidad
Tras la divulgación de la vulnerabilidad, el precio de ZEC sufrió una fuerte oscilación, cayendo hasta un 40%-50% desde su punto máximo, con decenas de miles de millones evaporados en valor de mercado. Algunas figuras conocidas (como Arthur Hayes) liquidaron sus posiciones y las ventas en derivados se dispararon. Pero a medida que se completó la reparación, el precio comenzó a estabilizarse.
Los temas de discusión de la comunidad incluyen: el impacto de la pausa del pool de privacidad en la narrativa descentralizada, el papel de la IA en la auditoría de seguridad, los desafíos de mantenimiento en la implementación de nodos duales (zcashd + Zebra), y la inminente actualización NU7 (bloques más rápidos, soporte para activos protegidos, etc.). Shielded Labs también propuso una actualización adicional para mejorar la verificabilidad del suministro con un nuevo pool y turnstile.
Este evento resalta el dilema de equilibrio entre la privacidad extrema y la auditabilidad en las monedas de privacidad. La rápida y profesional respuesta del equipo de Zcash es digna de reconocimiento — coordinando eficientemente a múltiples partes y completando una actualización compleja en un corto período, lo que constituye un caso de eficiencia en la historia del crypto.
Pero la naturaleza de doble filo del diseño de la privacidad también le recuerda a la industria: los complejos sistemas zk necesitan fortalecer continuamente la verificación formal, auditorías multiparte y herramientas asistidas por IA. Zcash, como pionero en la carrera de la privacidad, verá cómo la migración de nodos posterior (la transición a Zebra), la optimización de la gobernanza y las oportunidades institucionales (como un ETF potencial) decidirán su reconstrucción de confianza a largo plazo.
Caso emblemático de auditoría de seguridad asistida por IA
En el evento de la vulnerabilidad de soundness del pool Orchard de Zcash, un detalle muy observado es que el investigador de seguridad Taylor Hornby, con la ayuda del modelo de IA Claude Opus 4.8 lanzado recientemente por Anthropic, logró descubrir y validar este defecto significativo que había estado latente durante casi 4 años. Este proceso no solo destaca el poderoso potencial de la IA en auditorías criptográficas complejas, sino que también proporciona importantes lecciones para todo el campo de la seguridad blockchain.
Anthropic lanzó oficialmente Claude Opus 4.8 el 28 de mayo de 2026, que es el último modelo insignia de su serie Opus. Este modelo alcanza niveles de vanguardia en capacidades de codificación, tareas de agente (agentic tasks), razonamiento de contexto largo y trabajo de conocimiento especializado, soportando ventanas de contexto de hasta 1M tokens, e introduciendo características nuevas como 'flujos de trabajo dinámicos' (Dynamic Workflows) y 'controles de esfuerzo' (effort controls).
Hornby, como ingeniero de seguridad independiente encargado por Shielded Labs, comenzó a revisar continuamente el protocolo de Zcash en abril de 2026. Un día después del lanzamiento de Claude Opus 4.8 (29 de mayo), combinó esto con un marco de auditoría de IA personalizado para auditar específicamente el circuito de Orchard Action.
Con la poderosa capacidad de comprensión de código y razonamiento complejo del modelo, Hornby no solo localizó el problema de subrestricción (under-constrained) en el circuito, sino que también logró escribir un exploit completo. En el entorno de prueba regtest local, este exploit podía generar una cantidad infinita de ZEC falsos indetectables, que eran indistinguibles de los ZEC legítimos dentro del pool de privacidad.
Este proceso fusionó métodos tradicionales de investigación de seguridad con las últimas herramientas de IA: Opus 4.8 ayudó a analizar la lógica de verificación matemática de curvas elípticas, generar casos de prueba y asistir en la construcción del código de generación de pruebas, acelerando significativamente el ciclo desde el descubrimiento teórico hasta la verificación práctica. Hornby luego divulgó responsablemente la información a Zcash Open Development Lab (ZODL) en privado, evitando cualquier riesgo en la mainnet.
Este evento se considera un caso emblemático de auditoría de seguridad asistida por IA. En los últimos años, aunque Zcash ha pasado por múltiples auditorías manuales y verificaciones formales, los complejos circuitos de conocimiento cero (especialmente la implementación de Orchard basada en Halo 2) aún presentan vacíos que son difíciles de cubrir completamente por humanos. La intervención de Claude Opus 4.8 mostró la ventaja única de los grandes modelos de última generación en el manejo de grandes volúmenes de código y en la identificación de sutilezas en la falta de restricciones.
La aplicación de Claude Opus 4.8 en el descubrimiento de vulnerabilidades de Zcash marca la transición de la IA de ser una herramienta de apoyo a una fuerza central de seguridad. Esto no solo aceleró la respuesta (desde la divulgación hasta la reparación en solo unos días), sino que también estableció un nuevo paradigma de 'sombrero blanco de IA' para la industria crypto. En el futuro, con la aparición de más modelos de vanguardia como la serie Anthropic Mythos, se espera que la eficiencia de la auditoría de protocolos blockchain mejore drásticamente.