Zcash se desploma tras revelarse un fallo que permitía la falsificación ilimitada de ZEC. Zcash descubre una vulnerabilidad que permitía crear ZEC falsos ilimitados y plantea una actualización para demostrar la integridad de su suministro. Zooko Wilcox, fundador de Zcash; Jason McGee, de Shielded Labs; y el investigador de seguridad Taylor Hornby han revelado la existencia de una vulnerabilidad crítica en Orchard, el sistema de transacciones blindadas de Zcash, que podría haber permitido la creación ilimitada de ZEC falsificados sin que la red pudiera detectarlo.
Creación ilimitada e indetectable de ZEC falsificados
Tras conocerse que la vulnerabilidad podía haber permitido la creación ilimitada e indetectable de ZEC falsificados, el mercado reaccionó con fuertes ventas. El precio de ZEC llegó a desplomarse cerca de un 60% en cuestión de horas, reflejando la preocupación de los inversores ante un fallo que afectaba directamente a la integridad del suministro de la criptomoneda. Aunque posteriormente recuperó parte del terreno perdido, a esta hora cotiza en torno a los 332 dólares y acumula un descenso superior al 38% en las últimas 24 horas.
En una publicación conjunta, los autores relatan cómo Taylor Hornby identificó la vulnerabilidad el 29 de mayo mientras analizaba la seguridad del protocolo Zcash para Shielded Labs. Tras la detección del problema, el equipo coordinó una respuesta de emergencia junto con Zcash Open Development Lab (ZODL) y otros participantes del ecosistema para desplegar una corrección que cerró la vulnerabilidad el 1 de junio.
La crisis de Zcash hunde la criptomoneda un 20% tras dimitir el equipo desarrollador
Según los autores, la vulnerabilidad afectaba al circuito criptográfico Orchard y permitía generar cantidades ilimitadas de ZEC falsificados de forma indetectable. «Si el mismo exploit se hubiera ejecutado en la red principal, habría generado cantidades ilimitadas e indetectables de ZEC en una cartera de Zcash», explican.
Un fallo oculto durante cuatro años
La vulnerabilidad estuvo presente desde mayo de 2022, cuando Orchard fue activado en la red principal, hasta junio de 2026, cuando se desplegó la corrección de emergencia. Según los autores, el problema estaba relacionado con una restricción insuficiente dentro del circuito Orchard que permitía introducir entradas falsas en determinadas operaciones criptográficas sin que las verificaciones del sistema detectaran el error.
Lo más delicado del asunto es que las características de privacidad de Orchard impiden determinar criptográficamente si alguien explotó la vulnerabilidad antes de que fuera descubierta. «No existe una forma definitiva de determinar utilizando únicamente criptografía si la vulnerabilidad fue explotada antes de ser corregida», señalan Wilcox, McGee y Hornby.
Una IA ayudó a descubrir la vulnerabilidad
Una de las cuestiones más llamativas del incidente es el papel desempeñado por la IA en el descubrimiento del fallo. En abril de 2026, Shielded Labs incorporó a Taylor Hornby para reforzar las investigaciones de seguridad sobre el protocolo Zcash. Poco después, el investigador empezó a analizar el código utilizando técnicas avanzadas de auditoría asistida por IA combinadas con métodos tradicionales de investigación en ciberseguridad.
Los autores explican que, poco después del lanzamiento de Opus 4.8 de Anthropic el 28 de mayo, Hornby empleó el modelo como parte de una revisión altamente dirigida del circuito Orchard. Un día después, el 29 de mayo, identificó la vulnerabilidad y la comunicó inmediatamente a los ingenieros de Zcash Open Development Lab (ZODL).
El hallazgo se produce en un momento en que Anthropic impulsa iniciativas como Glasswing y Claude Mythos para analizar grandes bases de código en busca de errores de seguridad.
Zcash integrará monederos quantum-recuperables en junio de 2026
Aunque los autores consideran improbable que la vulnerabilidad fuera explotada antes de su descubrimiento, reconocen que los usuarios no deberían depender únicamente de esa valoración. Por ello, Shielded Labs está trabajando junto a otros desarrolladores del ecosistema en una propuesta de actualización de red destinada a demostrar criptográficamente la integridad del suministro monetario de Zcash.
Refuerzo de la seguridad
La propuesta prevé la creación de un nuevo pool blindado y la migración de los fondos procedentes de Orchard mediante mecanismos de verificación que permitan demostrar que no existen ZEC falsificados en circulación. Los detalles de esta propuesta serán publicados la próxima semana y, como cualquier actualización importante de Zcash, deberán someterse al proceso habitual de gobernanza de la red.
Tras el incidente, Shielded Labs ha anunciado nuevas medidas de seguridad, entre ellas la verificación formal del circuito Orchard mediante pruebas matemáticas y la contratación de nuevos especialistas en criptografía y seguridad. «Contratamos a Taylor para encontrar vulnerabilidades antes que los atacantes. Eso es exactamente lo que hizo», concluyen los autores del documento.