Ricercatore che ha scoperto il bug di Zcash usando l’ia avvia l’audit di Monero

Taylor Hornby, ingegnere della sicurezza informatica, ha utilizzato il modello di intelligenza artificiale Opus 4.8 di Anthropic per individuare una vulnerabilità critica nella blockchain di Zcash e ha annunciato l’intenzione di esaminare la criptovaluta per la privacy Monero nei suoi prossimi audit.

Richiesta pubblica e risposta

Interpellato su X riguardo alla possibilità di cercare falle in Monero e in altre valute private, Taylor Hornby ha scritto:

“Assolutamente! Aggiungerò Monero alla mia coda di progetti da auditare.”

La vulnerabilità scoperta in Zcash

La falla individuata da Hornby è stata rilevata il 29 maggio e riguardava il pool di privacy Orchard della blockchain di Zcash. Secondo l’analisi, il difetto era presente sin dal maggio 2022 e avrebbe potuto consentire a un attaccante di generare quantità illimitate di token contraffatti ZEC senza lasciare tracce rilevabili.

Il gruppo no-profit di sviluppatori noto come Shielded Labs ha reso nota la problematica e ha implementato una correzione d’emergenza entro il 1° giugno. A seguito della notizia, il valore di mercato di Zcash è sceso di circa il 38% nelle 24 ore successive, tra timori su eventuali sottrazioni dai pool protetti e perdita di fiducia degli investitori.

Comportamento responsabile e ruolo degli auditor

Hornby, che era stato incaricato da Shielded Labs ad aprile per identificare vulnerabilità prima che potessero essere sfruttate, ha spiegato di aver segnalato il problema invece di sfruttarlo a proprio vantaggio per ragioni etiche. Ha precisato:

“Gli sviluppatori erano come una famiglia e non avrei mai potuto accettare un tradimento del genere.”

Ha inoltre indicato l’intenzione di richiedere una sovvenzione per detentori di monete (coinholder grant) di Zcash per finanziare ulteriori indagini e miglioramenti della sicurezza del protocollo.

Monero e le differenze tecnologiche

Le tecnologie di privacy adottate dalle diverse criptovalute variano significativamente: Monero (ticker XMR) utilizza meccanismi che nascondono automaticamente mittente, destinatario e importo delle transazioni, mentre in Zcash gli utenti possono scegliere tra indirizzi trasparenti o protetti (shielded), il che introduce superfici di rischio differenti.

Un audit approfondito di Monero richiederà strumenti e approcci specifici per analizzare firme a cerchio, indirizzi stealth e prove a conoscenza zero, elementi che complicano sia la verifica che l’individuazione di eventuali exploit.

Implicazioni per investitori e regolatori

La scoperta di vulnerabilità in protocolli di privacy mette in luce due aspetti rilevanti: la necessità di audit indipendenti per preservare la sicurezza delle riserve in circolazione e il potenziale impatto reputazionale sulle monete coinvolte, che può tradursi in volatilità di prezzo e fuga di capitale.

Per i regolatori, tali incidenti sollevano questioni su come bilanciare la tutela della privacy con la prevenzione di attività illecite. Per gli operatori di mercato e gli investitori istituzionali, aumenta il valore di audit esterni e programmi di bug bounty come strumenti per mitigare il rischio tecnologico.

Prospettive future

Audit sistematici condotti con l’ausilio di intelligenza artificiale, come nel caso di Opus 4.8, possono accelerare l’identificazione di vulnerabilità complesse, ma richiedono anche supervisione umana e governance chiara sui processi di disclosure responsabile. La collaborazione tra sviluppatori, ricercatori indipendenti e detentori di token risulta quindi cruciale per la resilienza dell’intero ecosistema.

In sintesi

• La scoperta evidenzia come audit con supporto AI possano ridurre i tempi di identificazione dei bug, aumentando la richiesta di servizi di sicurezza specializzati nel settore crypto.
• Per gli investitori italiani, la maggiore attenzione alla governance tecnica e alle revisioni di protocollo diventa un fattore chiave nella valutazione del rischio di asset digitali con funzioni di privacy.
• I regulator europei potrebbero intensificare il dialogo su standard di sicurezza e disclosure per le criptovalute private, influenzando indirettamente l’adozione e la liquidità di tali asset nel mercato locale.