TL;DR:

• Zcash reveló una vulnerabilidad crítica en Orchard, su pool blindado para transacciones privadas.
• La falla existió desde mayo de 2022 y podía permitir la creación indetectable de ZEC falso dentro del pool.
• El golpe no es solo técnico: el mercado castigó a ZEC porque la privacidad impide saber con certeza si hubo explotación previa.

El bloqueo de Zcash se produjo después de que los desarrolladores descubrieran una grave vulnerabilidad de seguridad en el grupo privado de Zcash "Orchard", que podría explotar para crear un ZEC falso sin dejar rastro en la cadena de bloques. La vulnerabilidad fue descubierta el 29 de mayo de 2026 por el investigador de seguridad Taylor Hornby utilizando herramientas de prueba apoyadas por inteligencia artificial. El parche de emergencia fue lanzado el 1 de junio de ese mismo año. El problema es el impacto del incidente en el mercado: Shielded Labs considera que es poco probable que la vulnerabilidad sea realmente explotada. Sin embargo, deben admitir que la teoría criptográfica por sí sola no puede demostrarlo

Orchard es el pool de Zcash que permite procesar transacciones que mantienen la privacidad usando circuitos de pruebas de conocimiento cero. Ese es el problema. La privacidad protege los movimientos de los usuarios, pero la privacidad también impide que el pool verifique después del hecho si alguien creó monedas falsas dentro del pool.

Shielded Labs explicó que la vulnerabilidad podía explotarse para crear una cantidad ilimitada de ZEC falso dentro de Orchard. La falla estaba vinculada a un elemento insuficientemente restringido del circuito, lo que abría la puerta a entradas falsas en una operación de curva elíptica sin que el chequeo fallara.

"No hay forma de probar criptográficamente si la vulnerabilidad fue explotada antes de ser remediada."

Esta declaración golpea el punto dolorido de las criptomonedas: la confianza en la estructura de suministro En Bitcoin y Ethereum, muchos ataques dejan huellas públicas que los analistas pueden comprobar en la cadena de bloques, mientras que Zcash está diseñado para ocultar datos de transacciones sensibles, lo que aumenta la privacidad y hace que sea más difícil verificar después de un evento si algo sale mal dentro del grupo protegido.

El mercado castigó la incertidumbre, no una inflación confirmada

Los mercados reaccionaron rápidamente y el precio de ZEC se desplomó por porcentaje de dos dígitos en muy poco tiempo después de la noticia, cayendo brevemente de un máximo de 635 dólares a un mínimo de 309 dólares, según Decrypt, una caída de casi 37,8% en un día, y CoinDesk también informó una fuerte caída del precio de aproximadamente 38% en 24 horas.

Conviene separar dos cosas. No existe una confirmación pública de que alguien haya explotado el bug para falsificar ZEC. Lo que sí existe es una falla real, explotable y presente durante años.

Los datos clave del caso quedan así:

• 29 de mayo de 2026: Taylor Hornby descubrió la vulnerabilidad en Orchard.
• 1 de junio de 2026: se desplegó el arreglo de emergencia.
• 2 de junio de 2026: Zcash Open Development Lab completó la respuesta coordinada, según Shielded Labs.
• Mayo de 2022 a junio de 2026: periodo en el que la falla estuvo presente desde la activación de Orchard.
• Riesgo principal: falsificación indetectable dentro del pool blindado, no una inflación confirmada de toda la cadena.

El matiz importa. El golpe para Zcash no viene de una prueba de emisión falsa, sino de la imposibilidad técnica de descartarla con certeza absoluta. Para inversionistas, exchanges y usuarios que guardan fondos blindados, esa diferencia puede ser suficiente para repricing severo.

La IA aceleró el hallazgo y también abrió otra discusión

Shielded Labs contrató a Hornby en abril de 2026 para hacer investigación de seguridad enfocada en el protocolo. Según la organización, el investigador usó técnicas tradicionales junto con herramientas de auditoría asistida por IA, incluido Anthropic Opus 4.8, en una revisión dirigida del circuito Orchard.

El hallazgo refuerza una lectura incómoda para el sector cripto: la IA ya no solo ayuda a escribir código o revisar contratos simples; también empieza a encontrar fallas profundas en capas monetarias y sistemas criptográficos complejos.

Eso tiene dos lecturas. En el caso de Zcash, la noticia es que un investigador que la empresa contrató encontró el problema antes de que se confirmara un ataque. En el caso del resto de la industria, el mensaje es que si las herramientas de IA aceleran las auditorías de defensa, también aceleran las búsquedas de ataque de actores que buscan dañar.

La salida de Arthur Hayes convirtió el bug en evento de mercado

El debate técnico escaló cuando Arthur Hayes, cofundador de BitMEX, dijo que liquidó toda su posición en ZEC tras la divulgación. Su postura reflejó el temor de parte del mercado: en una moneda de privacidad, la narrativa exige una confianza casi perfecta.

"La Santísima Trinidad está muerta."

Hayes también señaló que, aunque considera extremadamente improbable una emisión falsa, no puede demostrarse criptográficamente que sea imposible. Ese punto resume el dilema: el problema no es solo si ocurrió algo, sino si la red puede probar ante el mercado que no ocurrió.

No todos comparten esa alarma. Craig Salm, director legal de Grayscale, argumentó que una explotación previa parece poco probable, porque requeriría que alguien encontrara una falla que escapó a desarrolladores y criptógrafos durante años y, además, resistiera la tentación de drenar el pool durante un ciclo alcista.

El siguiente movimiento de Zcash: un nuevo pool blindado

Shielded Labs propuso explorar una actualización de red con un nuevo pool blindado y contabilidad tipo turnstile accounting. La idea es que las monedas salgan de Orchard antes de entrar al nuevo pool, de forma que cualquiera pueda verificar mejor la integridad de la oferta.

El plan todavía necesita explicación técnica, discusión comunitaria y gobernanza. No es una solución mágica para borrar la incertidumbre pasada, pero sí puede crear una frontera más limpia entre el pool afectado y un diseño posterior.

La medida tendría tres objetivos concretos:

• Reducir la dependencia en una evaluación subjetiva sobre si hubo explotación.
• Permitir una ruta verificable para migrar fondos desde Orchard.
• Reforzar la seguridad futura con verificación formal del circuito y más investigación proactiva.

El caso deja a Zcash con una tarea difícil: preservar su promesa de privacidad sin pedirle al mercado un acto de fe. El parche cerró la falla, pero la confianza no se recompila tan rápido como el código.

Fuentes: 1, 2, 3, 4, 5