Zcash stelt cruciale beveiligingsupgrade mogelijk uit

De geplande Ironwood-upgrade van het privacygerichte cryptonetwerk Zcash (ZEC) wordt mogelijk uitgesteld. Volgens ontwikkelaar Shielded Labs hebben belangrijke partijen binnen het netwerk, waaronder cryptobeurzen, miningpools en wallet-aanbieders, mogelijk onvoldoende tijd om hun systemen gereed te maken voor de geplande activering eind juli.

Het mogelijke uitstel komt op een gevoelig moment. Ironwood moet namelijk een ernstige kwetsbaarheid in het netwerk verhelpen, terwijl Zcash tegelijkertijd overstapt op een volledig nieuwe software-infrastructuur.

Ironwood moet ernstige kwetsbaarheid verhelpen

Ironwood werd ontwikkeld nadat onderzoekers een ernstige kwetsbaarheid ontdekten in Orchard, de belangrijkste afgeschermde transactieomgeving van Zcash. Door deze zogenoemde ‘infinity bug’ zou een aanvaller in theorie een onbeperkt aantal valse ZEC-tokens kunnen creëren zonder dat dit direct zichtbaar wordt.

Volgens de ontwikkelaars zijn er geen aanwijzingen dat de kwetsbaarheid daadwerkelijk is misbruikt. Toch kan dat ook niet volledig worden uitgesloten. Juist doordat Orchard transacties afschermt, is achteraf niet iedere transactie volledig te controleren.

Met de Ironwood-upgrade introduceert Zcash daarom een nieuwe privépool. Nieuwe transacties via Orchard worden stopgezet, terwijl munten die de oude omgeving verlaten een extra verificatie ondergaan. Daarmee moet worden gegarandeerd dat het aantal ZEC-tokens in omloop binnen de vastgestelde limieten blijft.

Twee grote veranderingen tegelijk

Volgens Jason McGee, directeur van Shielded Labs, staan organisaties binnen het Zcash-ecosysteem voor een dubbele uitdaging. Naast de invoering van Ironwood moeten zij afscheid nemen van de verouderde software zcashd.

Daarvoor komt de nieuwe Z3-stack in de plaats. Die bestaat uit Zebra, dat verbinding maakt met het netwerk, Zaino, dat blockchaingegevens beschikbaar stelt aan applicaties, en Zallet, dat wordt gebruikt voor het beheren van wallets.

Omdat beide veranderingen gelijktijdig plaatsvinden, moeten infrastructuurproviders hun systemen aanpassen, uitgebreid testen en controleren voordat de upgrade veilig kan worden geactiveerd. Juist daar zit volgens McGee de grootste uitdaging. Vooral Zallet en Zaino zijn nog in ontwikkeling en nog niet volledig gereed voor productieomgevingen.

Uit gesprekken met infrastructuurproviders blijkt dat een deel verwacht eind juli klaar te zijn voor de migratie. Andere partijen geven aan meer tijd nodig te hebben om de overstap zorgvuldig af te ronden. Daarnaast blijkt uit de officiële documentatie dat sommige functies van zcashd geen directe vervanger krijgen, waardoor organisaties hun bestaande infrastructuur moeten aanpassen.

Nog geen besluit over uitstel

Shielded Labs benadrukt dat er nog geen definitieve beslissing is genomen over het uitstellen van de Ironwood-upgrade. De verschillende scenario’s worden momenteel besproken.

Ook Zcash-oprichter Zooko Wilcox laat weten dat de uitgevoerde beveiligingscontroles tot nu toe geen kritieke kwetsbaarheden hebben opgeleverd. Volgens hem werken de ontwikkelaars nog aan aanvullende verificaties, zodat de nieuwe infrastructuur veilig en stabiel kan worden geactiveerd zodra het netwerk daarvoor gereed is.

Met een eventueel uitstel wil Zcash voorkomen dat infrastructuurproviders onder tijdsdruk een ingrijpende softwaremigratie moeten uitvoeren. Daarmee kiest het netwerk voor een zorgvuldige implementatie, ook als dat betekent dat de introductie van Ironwood later plaatsvindt dan oorspronkelijk gepland.