زنگ خطر در دنیای کریپتو؛ کشف باگ جعل نامحدود در زی‌کش (Zcash) به کمک هوش مصنوعی!
خلاصه هوشمند مقاله
خلق پول بی‌نهایت: یک آسیب‌پذیری بحرانی در مدار حریم خصوصی اورچارد (Orchard) شبکه زی‌کش کشف شد که اجازه می‌داد بدون گذاشتن هیچ ردپایی، ارز ZEC به صورت نامحدود جعل شود. ناجیان هوش مصنوعی: این باگ که از سال ۲۰۲۲ پنهان مانده بود، توسط یک محقق امنیتی و با کمک مدل هوش مصنوعی تازه منتشر شده Opus 4.8 کشف و طی چند روز در یک عملیات اضطراری برطرف شد. بحران اثبات‌پذیری: به دلیل ماهیت حریم خصوصی زی‌کش، به لحاظ رمزنگاری نمی‌توان ثابت کرد که آیا هکرها پیش از این از باگ استفاده کرده‌اند یا خیر؛ راهکار فعلی، اعمال یک آپدیت بزرگ در شبکه برای تضمین یکپارچگی سکه‌هاست.
یک فاجعه چند میلیارد دلاری که در سکوت خنثی شد
در دنیای امنیت بلاکچین، کلمه‌ی «جعل نامحدود» (Counterfeiting) معادل به صدا درآمدن آژیر قرمز در یک نیروگاه هسته‌ای است. طبق گزارش رسمی منتشر شده توسط تیم Shielded Labs، شبکه زی‌کش (یکی از پیشگامان حریم خصوصی در کریپتو) تا یک قدمی فروپاشی کامل پیش رفته بود.
در آوریل ۲۰۲۶، یک محقق امنیتی برجسته به نام تیلور هورنبی (Taylor Hornby) مأمور شد تا با استفاده از جدیدترین ابزارهای مبتنی بر هوش مصنوعی، پروتکل زی‌کش را زیر و رو کند. نقطه عطف داستان در ۲۸ می و با انتشار مدل زبانی Opus 4.8 از شرکت Anthropic رقم خورد. هورنبی با استفاده از این مدل جدید در یک بررسی هدفمند، تنها یک روز بعد موفق به کشف یک نقص محاسباتی در ضرب منحنی بیضوی (Elliptic Curve) در مدار اورچارد شد.
باگ به قدری خطرناک بود که هورنبی در محیط تست محلی توانست بدون هیچ مشکلی، بی‌نهایت سکه ZEC نامرئی خلق کند. خوشبختانه، تیم توسعه (ZODL) در یک عملیات اورژانسی، این پنجره نفوذ را تا دوم ژوئن کاملاً مسدود کردند.
پارادوکس حریم خصوصی: آیا هکرها زودتر به معدن طلا رسیده‌اند؟
آنچه این اتفاق را از سایر هک‌های کریپتویی متمایز می‌کند، ذات خود زی‌کش است. مدار اورچارد طراحی شده تا تراکنش‌ها را کاملاً مخفی نگه دارد. این یعنی توسعه‌دهندگان نمی‌توانند با بررسی تاریخچه بلاکچین ثابت کنند که آیا کسی پیش از این تاریخ، در حال چاپ غیرقانونی پول بوده است یا خیر.
با این حال، تیم امنیتی معتقد است احتمال سوءاستفاده قبلی بسیار پایین است. این باگ سال‌ها از چشم برترین رمزنگاران جهان پنهان مانده بود و کشف آن نیازمند تخصص بالای انسانی در ترکیب با ابزارهای پیشرفته هوش مصنوعی (در سطح دسترسی محققان کلاه‌سفید) بوده است.
قدم بعدی چیست؟ (Network Upgrade)
برای بازگرداندن اعتماد کامل به شبکه، توسعه‌دهندگان قصد دارند یک «آپدیت شبکه» را پیشنهاد دهند. در این طرح، یک استخر حریم خصوصی جدید ایجاد می‌شود و مکانیزم «حسابرسی دروازه‌ای» (Turnstile Accounting) روی تمام سکه‌های خارج شده از اورچارد اعمال خواهد شد تا از عدم وجود سکه‌های جعلی در جریان مالی شبکه اطمینان حاصل شود.
۱. ورود رسمی هوش مصنوعی به جنگ‌افزارهای سایبری (AI Arms Race): این اتفاق یک نقطه عطف تاریخی در امنیت سایبری است. کشف یک باگ پیچیده ریاضیاتی در مدارهای اثبات دانایی صفر (Zero-Knowledge Proofs) توسط یک مدل زبانی بزرگ (LLM)، نشان می‌دهد که ما وارد دوران جدیدی شده‌ایم. از این پس، تیمی که به جدیدترین مدل‌های هوش مصنوعی (مانند Opus 4.8) مجهز نباشد، در مسابقه امنیت بازنده است. هوش مصنوعی دیگر فقط کد نمی‌نویسد، بلکه می‌تواند منطق پیچیده رمزنگاری را دیباگ کند.
۲. پاشنه آشیل شبکه‌های Privacy-Coin: این رویداد، بحث قدیمی میان متخصصان بلاکچین را دوباره داغ کرد. در شبکه‌های شفافی مثل بیت‌کوین، اگر یک باگ تورمی ایجاد شود، سریعاً روی شبکه قابل رویت است. اما در شبکه‌هایی مثل زی‌کش یا مونرو، حریم خصوصی مطلق می‌تواند به پناهگاهی امن برای پنهان ماندن فاجعه تبدیل شود. راهکار حسابرسی دروازه‌ای (Turnstile) که تیم زی‌کش پیشنهاد داده، یک راه‌حل مهندسی هوشمندانه برای دور زدن این مشکل و اثبات ریاضیِ سلامت شبکه است.
۳. اهمیت ممیزی‌های پیوسته (Continuous Auditing): کدنویسی تمام نمی‌شود. مدار اورچارد از سال ۲۰۲۲ فعال بود و تصور می‌شد کاملاً امن است. اقدام پیش‌دستانه تیم Shielded Labs برای استخدام یک هکر کلاه‌سفید و استفاده از متدهای روز (ترکیب انسان + AI)، دقیقاً همان استاندارد طلایی است که تمام پروژه‌های دیفای (DeFi) باید از آن الگوبرداری کنند. استخدام‌های جدید آن‌ها برای جذب متخصصان رمزنگاری و تمرکز بر راستی‌آزمایی رسمی (Formal Verification) نشان می‌دهد که آن‌ها قصد دارند امنیت را به جای احتمالات، روی اثبات‌های قطعی ریاضی بنا کنند.