Zcash: ¿y si hubiera dinero falso donde nadie puede verlo?

Un fallo capaz de acuñar dinero invisible

El 29 de mayo de 2026, el investigador independiente de seguridad Taylor Hornby descubrió una vulnerabilidad crítica de falsificación en el pool protegido Orchard de Zcash, el rincón privado de la red donde los montos y los destinatarios permanecen ocultos por diseño. Según Shielded Labs —la organización que lo había contratado un mes antes precisamente para buscar fallos de este calibre antes que posibles atacantes—, Hornby estaba realizando una revisión exhaustiva del circuito Orchard con la ayuda del modelo Opus 4.8 de Anthropic, lanzado el día anterior, cuando halló el error y lo notificó esa misma noche a los ingenieros de Zcash Open Development Lab (ZODL).^[1]

La causa técnica era aparentemente diminuta. Shielded Labs informó de que un elemento insuficientemente restringido (under-constrained) en el circuito Orchard permitía introducir entradas falsas arbitrarias en una multiplicación sobre curvas elípticas y lograr, aun así, que la comprobación de la multiplicación fuera validada con éxito. Un circuito de conocimiento cero funciona como un examen que cada transacción debe aprobar antes de que la red la acepte; una pregunta con restricciones insuficientes es aquella tan laxa que permite que una respuesta fraudulenta pase desapercibida mostrando un desarrollo formalmente correcto. La red no calculaba mal las matemáticas: omitía delimitar con rigor sobre qué podían operar dichas matemáticas.^[1]

Para demostrar que el peligro era real, Hornby desarrolló un exploit completo. Shielded Labs informó de que en un entorno local regtest —un entorno aislado de pruebas, no la red principal activa— la herramienta generó ZEC falsificado ilimitado e indetectable. La demostración divulgada se llevó a cabo exclusivamente en ese entorno de pruebas; no establece en modo alguno que se produjera falsificación en la red principal. Su relevancia radicaba en la contundencia del hallazgo: no se trataba de una inconsistencia teórica en una demostración matemática, sino de un mecanismo funcional para acuñar dinero sin dejar rastro visible, alojado en un pool operativo desde mayo de 2022.^[1]

Según Shielded Labs, la vulnerabilidad había estado presente desde la activación de Orchard en mayo de 2022, aproximadamente cuatro años antes de la respuesta de emergencia a principios de junio de 2026. La organización señaló que el fallo había eludido años de riguroso escrutinio por parte de expertos. La misma privacidad que protegía los detalles legítimos de las transacciones impedía, a su vez, que el registro público pudiera revelar un posible uso indebido.^[1]

Detener Orchard para luego repararlo

La respuesta comenzó la noche del viernes 29 de mayo, cuando Hornby notificó el problema de manera responsable a los ingenieros principales de ZODL. La Zcash Foundation informó de que, en cuestión de horas, los ingenieros Daira-Emma Hopwood, Kris Nuttycombe y Jack Grigg confirmaron el fallo y comenzaron a evaluar alternativas de mitigación, manteniendo los detalles técnicos bajo estricta confidencialidad para reducir el riesgo de explotación antes de disponer de una solución definitiva.^[3]

La coordinación privada con mineros y casas de cambio dio inicio la noche del domingo 31 de mayo. Un primer intento de activación de bifurcación suave experimentó problemas de coordinación durante el despliegue del parche, por lo que los ingenieros de ZODL elaboraron rápidamente un segundo parche dirigido a la altura de bloque 3.363.426, el cual se activó con éxito aproximadamente a las 02:00 UTC del 2 de junio. Esta bifurcación suave funcionó como un freno de emergencia: los nodos comenzaron a rechazar temporalmente toda transacción y bloque que contuviera acciones de Orchard, congelando el pool mientras se concluía la reparación definitiva.^[3]

La reparación en sí no podía ser un parche silencioso. La Fundación explicó que un parche directo habría desvelado demasiados detalles sobre el fallo a cualquiera que inspeccionara el código actualizado, y que corregir un error en un circuito de pruebas de conocimiento cero exige actualizar la clave de verificación fijada (verifying key), un cambio de consenso que ninguna actualización ordinaria de software puede aplicar. Por consiguiente, la corrección llegó como NU6.2, una actualización de red mediante bifurcación dura que se activó el miércoles 3 de junio a las 00:05 EDT en el bloque 3.364.600, reactivando Orchard con el circuito corregido. Esta fue apenas la segunda actualización de protocolo motivada por razones de seguridad en la historia de Zcash desde su lanzamiento en 2016.^[3]

Posteriormente se emitió el informe tranquilizador. La Fundación afirmó que la vulnerabilidad fue neutralizada antes de cualquier explotación conocida, que no se ha encontrado indicio alguno de creación no autorizada de valor y que el mecanismo de torniquete (turnstile) de Zcash confirmó que el suministro total de ZEC se mantuvo intacto durante todo el incidente. La privacidad de los usuarios no se vio comprometida y tanto el pool heredado Sapling como los pools transparentes continuaron operando con total normalidad en todo momento.^[3]

Contar las puertas, no las habitaciones

El episodio puso de relieve una cuestión ineludible para cualquier moneda privada: ¿cómo pueden los usuarios verificar la oferta monetaria cuando no pueden inspeccionar los saldos individuales? Zcash rastrea las cantidades que entran y salen de sus pools protegidos. Imagínese una cámara acorazada sin ventanas con un contador en la puerta: el contador registra los depósitos netos y limita las retiradas totales, pero no examina cada billete intercambiado entre las personas en su interior. La Fundación atribuyó a esta contabilidad de límites, denominada torniquete (turnstile), la capacidad de evitar que las retiradas superen el valor registrado para un pool.^[3][5]

Sin embargo, el incidente de junio de 2026 expuso los límites de dicho diseño. El torniquete restringe lo que puede salir de la sala; no puede descartar por sí mismo que circulen saldos falsificados en su interior. Los ZEC falsificados creados dentro de un pool protegido podrían circular de forma invisible en ese espacio, y Shielded Labs fue sumamente directa sobre las consecuencias: debido a las propiedades de privacidad de Orchard, no existe una vía criptográfica definitiva para determinar si la vulnerabilidad llegó a ser explotada antes de su reparación. Al planteársele la pregunta de forma directa dos semanas después —«¿fue la vulnerabilidad explotada alguna vez?»—, la respuesta de la organización fue de una sola palabra: desconocida.^[1][2]

Shielded Labs ofrece una evaluación de riesgos que debe considerarse como una estimación y no como un hecho comprobado: la organización considera poco probable una explotación previa, dado que el fallo resistió años de escrutinio experto, su hallazgo fue resultado de una búsqueda deliberada de sombrero blanco con herramientas avanzadas de IA y no un accidente, la ventana de ataque se redujo drásticamente por la rápida respuesta, y los atacantes del ecosistema cripto suelen monetizar sus fondos con rapidez (lo que los habría forzado a pasar por el torniquete, dejando rastro). No obstante, Shielded Labs añade la advertencia fundamental: los usuarios no deberían tener que depender de su evaluación ni de la de nadie más.^[1][2]

El sellado de la cámara acorazada

La respuesta a la falta de verificabilidad fue de orden arquitectónico. Shielded Labs propuso, y el ecosistema implementó, Ironwood: un nuevo pool protegido que utiliza el circuito corregido de Orchard mientras sella de manera permanente el pool Orchard original. Tras la activación de Ironwood, ningún valor nuevo puede ingresar al pool antiguo y los fondos ya no pueden circular dentro de él; la única salida es a través del torniquete existente, el cual nunca permite retirar más ZEC del que ingresó legítimamente.^[6][2]

El sellado de Orchard aborda el control de la oferta sin necesidad de resolver el enigma histórico. El valor que permanezca en su interior ya no puede circular allí; las retiradas continúan limitadas por el saldo registrado públicamente en el pool. Este es un límite agregado, no un sistema que distinga qué monedas individuales son genuinas. Shielded Labs explica que, en consecuencia, los usuarios pueden verificar el límite de la oferta circulante con sus propios nodos sin tener que dilucidar previamente si la antigua vulnerabilidad fue explotada. Su estimación independiente de que los fondos legítimos de Orchard son recuperables sigue dependiendo de su premisa de que una explotación previa era improbable.^[2][6]

La ingeniería se formalizó en la propuesta ZIP 258, creada el 19 de junio de 2026, que fijó la altura de activación en la red principal para NU6.3 en el bloque 3.428.143 e incorporó el sellado a las reglas de consenso: desde su activación, del pool Orchard solo se puede retirar valor, se deshabilitan las transferencias entre direcciones dentro de él, no puede ingresar nuevo valor y la contabilidad de saldos de pools de ZIP 209 añade el saldo de Ironwood junto a los existentes. El registro oficial de actualización de Zcash confirma que Ironwood se activó en la red principal el 28 de julio de 2026, exactamente en esa altura de bloque.^[5][4]

Verificación sin vigilancia

El registro oficial de activación de Ironwood describe un nuevo pool protegido diseñado para hacer que la integridad de la oferta circulante sea verificable de manera independiente. La respuesta preservó la finalidad de las transacciones privadas al tiempo que restringió la capacidad del pool antiguo para hacer circular valor. Siguiendo la analogía de la cámara acorazada, la reparación modificó las reglas de la puerta de salida en lugar de exigir a cada usuario que hiciera público su saldo.^[4][6]

A fecha de 9 de septiembre de 2026, las fuentes consultadas no demuestran que la vulnerabilidad de Orchard fuera explotada. Shielded Labs sostiene que el registro protegido antiguo no puede, únicamente mediante criptografía, resolver esa incógnita. Ironwood transforma lo que los usuarios necesitan saber: hacer cumplir un límite estricto sobre la oferta circulante no exige emitir un veredicto sobre cada transacción que pudiera haber tenido lugar antes de la reparación.^[2][4][6]

Esta distinción ofrece una conclusión mucho más útil que el pánico o la complacencia. La evaluación subjetiva del pasado formulada por los desarrolladores y las restricciones verificables impuestas por el protocolo constituyen tipos de evidencia diferentes. La respuesta de Zcash consistió en construir un límite de oferta que los usuarios pudieran comprobar por sí mismos, manteniendo a la vista la incertidumbre sobre una posible explotación histórica.^[2][6]