Quỹ Zcash vừa phát hành Zebra 4.4.0 vào ngày 2/5/2026 và kêu gọi các nhà vận hành node nâng cấp ngay lập tức sau khi vá nhiều lỗ hổng bảo mật, trong đó có các lỗi có thể làm lệch đồng thuận của mạng.
Bản cập nhật này xuất hiện khi tháng 4/2026 khép lại với mức thiệt hại từ các vụ tấn công crypto ở mức rất cao. CertiK cho biết tổng tổn thất toàn ngành vào khoảng 651 triệu USD.
- Zebra 4.4.0 vá 5 lỗ hổng trong triển khai node bằng Rust của Zcash.
- Trong số này có 3 lỗi liên quan trực tiếp đến đồng thuận, có thể khiến node Zebra chấp nhận giao dịch khác với zcashd.
- Quỹ Zcash khuyến nghị toàn bộ nhà vận hành node nâng cấp ngay vì các phiên bản cũ vẫn còn rủi ro.
Zebra 4.4.0 đã sửa những lỗi nào
Bản cập nhật xử lý 5 lỗ hổng riêng biệt trong Zebra, phần mềm node bằng Rust do Quỹ Zcash phát triển. Ba lỗi trong số đó được xếp loại là quan trọng với đồng thuận. Theo mô tả của Quỹ Zcash, kẻ tấn công có thể khai thác chúng để khiến node Zebra chấp nhận các giao dịch mà client zcashd đời cũ sẽ từ chối, từ đó làm mạng bị tách nhánh.
Lỗi nghiêm trọng nhất, GHSA-28xj-328h-72vm, cho phép một kẻ tấn công từ xa làm node ngừng phát hiện block mới chỉ với một kết nối. Cuộc tấn công này kết hợp ba điểm yếu trong cách Zebra chia sẻ và tải dữ liệu. Quỹ Zcash cho biết khai thác này tạo ra “zero misbehavior score, zero bans, and zero disconnections”, nghĩa là khó bị các công cụ giám sát thông thường phát hiện.
Lỗi thứ hai, GHSA-jv4h-j224-23cc, khiến Zebra đếm sai số lượng chữ ký trong một block giao dịch, thường là thấp hơn giới hạn 20.000 sigop của block.
Theo mô tả được công bố, hệ thống của Zebra đã bỏ qua hai loại script cụ thể là scriptSig của đầu vào Coinbase và chữ ký P2SH trong quá trình kiểm tra block. Vì vậy, một block được tạo để tận dụng cả hai điểm yếu có thể qua được kiểm tra của Zebra nhưng lại bị zcashd từ chối, dẫn đến chia tách chuỗi.
Lỗi lớn thứ ba, GHSA-gq4h-3grw-2rhv, xuất phát từ một bản sửa sighash trước đó để lại dữ liệu cũ trong vùng đệm tạm thời có thể đọc được qua giao diện C++ foreign function interface của Zebra.
Quỹ Zcash cho biết một kẻ tấn công có thể dùng chữ ký hợp lệ để nạp dữ liệu đúng vào vùng đệm, sau đó gửi một giao dịch thứ hai với hash type không hợp lệ nhưng vẫn được xác minh dựa trên dữ liệu còn sót lại. Để khắc phục, quỹ áp dụng biện pháp tạm thời là làm rối vùng đệm bằng các byte ngẫu nhiên nếu kiểm tra thất bại, nhằm tránh việc hệ thống tái sử dụng thông tin cũ trước khi có bản sửa triệt để.
Hai lỗi còn lại tác động như thế nào
Hai lỗ hổng còn lại gây ra bất đồng giữa các phần khác nhau của hệ thống. Một lỗi làm mạng tiêu tốn quá nhiều bộ nhớ khi đọc thông điệp, với mã GHSA-438q-jx8f-cccv. Lỗi còn lại là sai khác nhỏ trong cách Zebra xác minh một số giao dịch, mang mã GHSA-cwfq-rfcr-8hmp.
Quỹ Zcash cho biết lỗi sau không dễ khai thác trong thực tế, nhưng vẫn vá để đồng bộ hành vi với zcashd. Nhà nghiên cứu bảo mật Sangsoo-osec được ghi nhận đã phát hiện 3 trong 5 vấn đề.
Vì sao bản vá này được xem là cấp bách
Thời điểm phát hành Zebra 4.4.0 trùng với một tháng có số vụ tấn công crypto rất dày đặc. Theo DeFiLlama, tháng 4/2026 là tháng bị tấn công nhiều nhất trong lịch sử crypto tính theo số vụ, với khoảng 28 đến 30 vụ riêng rẽ. CertiK cho biết tổng thiệt hại vào khoảng 651 triệu USD, mức cao nhất kể từ tháng 3/2022 nếu loại trừ vụ Bybit vào tháng 2/2025.
Phần lớn thiệt hại trong tháng đến từ hai vụ việc. Ngày 1/4, Drift Protocol mất khoảng 285 triệu USD trong một chiến dịch social engineering liên quan đến Lazarus Group của Triều Tiên. Đến ngày 18/4, KelpDAO chịu một vụ khai thác giả mạo tin nhắn trị giá 293 triệu USD nhắm vào cầu nối liên chuỗi LayerZero, theo Cryptopolitan.
Không có vụ nào trong tháng 4 nhắm trực tiếp vào Zcash. Tuy vậy, số lượng sự cố trên nhiều mạng khác nhau cho thấy lý do Quỹ Zcash xếp Zebra 4.4.0 vào nhóm bản vá “critical” và yêu cầu áp dụng ngay.
Nhà vận hành node Zcash cần lưu ý gì
Quỹ Zcash khuyến nghị toàn bộ nhà vận hành nâng cấp lên Zebra 4.4.0 ngay lập tức. Theo thông báo, bản phát hành này không mang thêm thay đổi lớn nào ngoài các sửa lỗi bảo mật.
Những node còn chạy phiên bản cũ vẫn đối mặt với cả 5 lỗ hổng, bao gồm lỗi có thể làm dừng việc phát hiện block mới chỉ với một kết nối độc hại. Tại thời điểm được ghi nhận, ZEC giao dịch ở mức 377,46 USD và vốn hóa thị trường là 6,28 tỷ USD, theo CoinMarketCap.
Tổng kết
Zebra 4.4.0 là bản vá bảo mật quan trọng của hệ sinh thái Zcash, tập trung vào các lỗi có thể gây gián đoạn node và lệch đồng thuận giữa Zebra với zcashd. Dữ liệu hiện có cho thấy rủi ro nằm ở phần hạ tầng vận hành hơn là ở token ZEC, nhưng mức độ nghiêm trọng của các lỗ hổng khiến việc nâng cấp được xem là cần làm ngay đối với các node đang chạy phiên bản cũ.
