Zcash mengalami salah satu keruntuhan harga tajam dalam satu hari yang paling parah dalam ingatan baru-baru ini setelah pengembang mengungkapkan kerentanan kritis yang telah terdeteksi dalam kolam terlindung Orchard dari protokol sejak Mei 2022.
Koin privasi ini jatuh dari high lokal $635 ke low intraday $309 — penurunan lebih dari 40% — sebelum sedikit pulih ke sekitar $330. Bug sudah diperbaiki. Tapi pertanyaan yang tersisa mungkin lebih merusak daripada kerentanannya sendiri: apakah ada yang mengeksploitasi ini selama empat tahun tidak ada yang tahu itu ada?
Jawaban, menurut Shielded Labs — organisasi yang memimpin pengembangan Zcash — adalah bahwa tidak ada cara kriptografi untuk mengetahuinya. Pengakuan itu berada di pusat krisis yang dihadapi proyek ini sekarang.
Apa Sebenarnya Bug Itu
Kerentanan tersebut terletak di kolam terlindungi Orchard Zcash — lapisan privasi yang memungkinkan pengguna untuk bertransaksi tanpa mengungkapkan pengirim, penerima, atau jumlah di on-chain. Orchard diaktifkan pada Mei 2022 sebagai peningkatan signifikan pada arsitektur privasi Zcash, menggantikan protokol Sapling yang lebih lama. Ini telah menjadi dasar jaminan privasi Zcash selama empat tahun terakhir.
Jika dieksploitasi, celah tersebut akan memungkinkan penyerang untuk mencetak token ZEC palsu tanpa batas di dalam kolam terlindungi — menciptakan koin dari ketiadaan — tanpa jejak inflasi di on-chain. Karena kolam Orchard dirancang untuk menyembunyikan detail transaksi, setiap penciptaan token yang tidak sah yang terjadi di dalamnya akan tidak terlihat oleh pengamat eksternal. Pasokan akan tampak tidak berubah sementara jumlah yang sebenarnya beredar bisa saja telah disusupi secara diam-diam oleh jumlah yang tidak diketahui.
Bug ini ditemukan pada 29 Mei oleh insinyur keamanan Taylor Hornby di Shielded Labs. Yang penting, Hornby menggunakan Claude Opus 4.8 dari Anthropic untuk membantu analisis kode — dan model AI tersebut berperan penting dalam mengidentifikasi kerentanan. Hornby kemudian membuat bukti konsep yang berhasil menghasilkan token di jaringan uji, mengkonfirmasi bahwa bug tersebut dapat dieksploitasi, bukan hanya teori. Tim Zcash menerapkan perbaikan darurat pada 1 Juni.
Pertanyaan yang Tidak Dapat Dijawab
Aspek yang paling merugikan dari pengungkapan ini bukanlah kerentanannya sendiri — melainkan ketidakmungkinan untuk menentukan apakah itu telah digunakan. Shielded Labs sangat terbuka dalam pengungkapannya:
“Kerentanan itu ada sejak aktivasi Orchard pada Mei 2022 hingga perbaikan darurat diterapkan pada 1 Juni 2026. Karena sifat privasi Orchard dan karakter bug tersebut, tidak ada cara definitif untuk menentukan, hanya dengan menggunakan kriptografi, apakah eksploitasi semacam itu terjadi.”
Pernyataan itu menggambarkan situasi yang benar-benar baru dalam sejarah kerentanan kripto yang signifikan. Dalam sebagian besar eksploitasi blockchain, kerusakannya terlihat. Dana berpindah ke alamat penyerang. Pasokan token berubah secara terukur. Log transaksi menunjukkan pelanggaran. Komunitas dan pengembang dapat menilai keseluruhan lingkup apa yang diambil dan memulai proses pemulihan.
Dengan kolam Orchard Zcash, tidak ada pekerjaan forensik yang mungkin dilakukan. Arsitektur privasi yang membuat Zcash berguna sebagai jaringan pembayaran rahasia adalah arsitektur yang sama yang membuatnya tidak mungkin untuk diaudit apakah kelas serangan tertentu terjadi. Koin privasi, telah lama dikritik, memungkinkan kategori kerentanan yang unik — di mana eksploitasi dan konsekuensinya secara inheren tidak dapat diverifikasi.
Apa yang Diusulkan oleh Shielded Labs
Shielded Labs telah menggambarkan jalur menuju pemulihan kepercayaan pada integritas pasokan ZEC, meskipun jalannya panjang dan secara teknis menuntut. Organisasi tersebut telah mengusulkan untuk meluncurkan kolam terlindungi baru — lapisan privasi segar yang akan memungkinkan komunitas untuk memverifikasi volume sebenarnya dari emisi ZEC yang sah tanpa ketidakpastian yang sekarang mengelilingi sejarah empat tahun kolam Orchard.
Selain itu, Shielded Labs berencana untuk melakukan verifikasi kode formal dari basis kode Orchard — pendekatan berbasis bukti matematis yang akan menunjukkan tidak adanya bug lain dari kelas ini dengan tingkat kepastian yang tidak dapat diberikan oleh audit keamanan standar. Verifikasi formal memerlukan sumber daya komputasi yang intensif dan memakan waktu yang signifikan, tetapi itu adalah pendekatan paling ketat yang tersedia untuk membangun kepercayaan kriptografi dalam kebenaran kode.
Para pengembang mencatat bahwa, dalam penilaian mereka, kerentanan tersebut tidak mungkin telah dieksploitasi dalam praktiknya. Celah tersebut cukup canggih sehingga menemukannya memerlukan analisis kode yang dibantu AI — menunjukkan bahwa hambatan untuk penemuan cukup tinggi bagi penyerang potensial yang tidak memiliki akses ke alat serupa. Pada bulan Mei, ZEC mencapai $585 untuk pertama kalinya sejak November 2025 — sebuah puncak yang sekarang tampaknya telah menjadi tinggi sebelum pengungkapan membuat harga turun tajam.
Apa Artinya Ini untuk Koin Privasi Secara Umum
Kerentanan Zcash menyoroti ketegangan struktural yang selalu dihadapi oleh cryptocurrency yang menjaga privasi tetapi jarang menghadapinya secara langsung. Jaminan privasi yang membedakan jaringan ini dari blockchain transparan seperti Bitcoin dan Ethereum dibangun di atas sifat kriptografi yang sama yang membuat kategori bug tertentu tidak terdeteksi setelah fakta.
Dalam blockchain yang transparan, bug inflasi pasokan meninggalkan jejak yang terlihat. Auditor, peneliti, dan komunitas dapat menentukan dengan tepat kapan itu terjadi, berapa banyak yang dibuat, dan ke mana token-token tersebut pergi. Kerusakan itu terukur dan dapat diketahui. Perencanaan pemulihan dapat didasarkan pada fakta.
Dalam kolam terlindungi, visibilitas itu secara arsitektural tidak mungkin oleh desain. Sistem bukti nol-pengetahuan yang sama yang menyembunyikan detail transaksi dari pengamat eksternal juga menyembunyikan setiap penciptaan token yang tidak sah dari pengamat yang sama. Bug dari kelas ini tidak hanya berbahaya — tetapi juga secara permanen tidak dapat diketahui akibatnya, bahkan setelah ditemukan.
Harga Zcash telah pulih sebagian tetapi masih turun signifikan dari level pra-pengungkapan. Proposal kolam terlindungi baru dan komitmen verifikasi formal mewakili jalur paling kredibel ke depan yang tersedia bagi tim pengembang. Apakah komunitas menerima langkah-langkah tersebut sebagai cukup untuk memulihkan kepercayaan pada integritas pasokan ZEC akan menentukan apakah jatuhnya harga Kamis adalah guncangan sementara atau penetapan ulang permanen dari profil risiko aset tersebut.
Bug tersebut telah diperbaiki. Pertanyaan yang diajukan tidak.