Zcash vendía una sola cosa: privacidad. Frente a los gobiernos, frente a las big tech, frente a la IA. Le entregaron su circuito más avanzado a una IA y lo rompió el primer día que estuvo en la calle.

No tardó cuatro años. No tardó cuatro semanas.

Tardó horas.

El 28 de mayo de 2026, Anthropic lanzó Claude Opus 4.8. El 29 de mayo, Taylor Hornby — ex Senior Security Engineer de Electric Coin Company, ex miembro de la junta de la Zcash Foundation, contratado por Shielded Labs en abril — le pasó el circuito Orchard al modelo recién salido, acoplado a un arnés de auditoría que él mismo construyó. Esa misma noche tenía un soundness bug crítico y un exploit funcionando.

La moneda blindada contra la IA. PAILA por la IA, en 24 horas.

Lo que era Orchard

Orchard era la joya de la corona. El shielded pool de Zcash que se activó con NU5 en mainnet el 31 de mayo de 2022, construido sobre Halo 2 — el primer sistema de pruebas de Zcash que no requería trusted setup. Ese era el punto entero. Sin ceremonia. Sin "toxic waste". Sin tener que confiar en que un grupo de extraños destruyó un secreto. La criptografía sola garantizaba que nadie podía falsificar.

Soundness: la propiedad de que un verificador solo acepta pruebas de afirmaciones verdaderas. Si se rompe, un adversario genera una prueba que se ve válida para una afirmación falsa. En una moneda, eso significa gastar o acuñar dinero que no existe.

Cuatro años en producción. Las auditorías de NU5 por QEDIT y NCC. La auditoría de OrchardZSA de Least Authority en enero de 2025, que encontró textualmente "no issues in the changes made to the Halo2 gadgets and circuits."

El bug llevaba ahí desde el primer bloque.

Anatomía de la función equivocada

El fallo vive en halo2_gadgets::ecc::chip::mul, el gadget de multiplicación escalar de base variable. La descripción clínica, del advisory GHSA-jfw5-j458-pfv6:

El bucle de double-and-add incompleto escribía las coordenadas de la base de cada iteración con assign_advice en lugar del obligatorio copy_advice. La diferencia parece cosmética. No lo es. copy_advice ancla el valor a la base real mediante una cadena de constancia. assign_advice solo lo escribe. La cadena nunca llegó a la base verdadera.

Un prover malicioso podía correr el bucle contra una constante libre B' distinta a la base, haciendo que el gadget computara [a]base + [b]B' en lugar de [scalar]base. Multiplicación de curva elíptica falsa. Que pasaba la verificación.

Hornby no solo encontró el bug. Con Opus 4.8 escribió un exploit completo que generó ZEC falso, ilimitado e indetectable en un entorno regtest local. Factibilidad probada.

Las dos versiones oficiales difieren en alcance. Shielded Labs y Zooko lo llaman "unlimited counterfeit ZEC within Orchard". El advisory de Zebra es más preciso: "double-spending of funds within Orchard, though with no ability to inflate the total ZEC supply." El turnstile entre pools acota el suministro total. Falsificación dentro de Orchard: posible e invisible. Inflar el supply global: bloqueado.

Arreglarlo no admitía un parche en caliente — un circuito ZK tiene su clave de verificación clavada. El fix fue un hard fork. El soft fork Zebra 4.5.3 deshabilitó Orchard en el bloque 3.363.426, ~02:00 UTC del 2 de junio. NU6.2 (Zebra 5.0.0) lo reactivó con el circuito corregido en el bloque 3.364.600, 00:05 EDT del 3 de junio.

El patrón

Este es el sexto punto de una curva que lleva dieciocho meses subiendo. El más afilado.

Google Big Sleep encontró el primer 0-day de memory-safety descubierto por IA en software ampliamente usado — SQLite, octubre de 2024 — tras 150 horas-CPU de fuzzing fallido. Sean Heelan usó o3, la API cruda sin andamiaje, para hallar un use-after-free remoto en el kernel de Linux. Claude Opus 4.6 encontró 22 vulnerabilidades en Firefox en dos semanas por unos $4.000 de API. El Mythos Preview de Anthropic escribió exploits para un bug de OpenBSD de 27 años y fue considerado demasiado peligroso para un lanzamiento general.

Todos esos eran memory-safety o concurrencia en código imperativo convencional. Terreno donde los modelos reconocen patrones de clases de bugs ya transitadas.

Orchard es otra cosa. Un soundness break en un circuito aritmético de zero-knowledge. Un dominio que exige razonamiento formal sobre sistemas de restricciones. El tipo de bug que sobrevivió rondas de revisión por criptógrafos de élite precisamente porque es invisible. Joe Andrews de Aztec lo dijo: los checks de curva elíptica sub-restringidos están entre las debilidades más comunes en circuitos ZK de producción. La IA está industrializando su descubrimiento.

¿Cuántos circuitos en producción asumen soundness porque tres firmas de auditoría firmaron el papel?

Esto no es el cierre. Es la jugada de apertura.

La ironía

El filo que no se puede pulir.

Orchard era privacy-preserving por diseño. La misma matemática que oculta tus transacciones legítimas oculta las del falsificador. Por eso es imposible probar si el bug fue explotado en la ventana 2022–2026. No hay evidencia de creación no autorizada de valor. Tampoco hay prueba criptográfica de no-explotación. Udi Wertheimer lo resumió: "Zcash enables a unique class of bugs where if they're exploited, no one would know."

El postmortem no termina en root-cause. Termina en un agujero epistémico permanente. La red puede parchear el bug. Nunca podrá cerrar la pregunta.

Arthur Hayes, CIO de Maelstrom, lo entendió antes que el mercado y vendió toda su posición. No porque creyera que hubo acuñación — admitió que era "extremely unlikely". Sino porque no se puede probar lo contrario: "it cannot be formally cryptographically proved impossible – The privacy from AI, govt, big tech narrative demands perfection." La narrativa entera — privacidad frente a la IA — exigía perfección. Duró hasta que una IA miró el código. Declaró muerta su tesis "Holy Trinity". ZachXBT lo acusó al instante de usar a sus seguidores como liquidez de salida: "How much exit liquidity was created from your followers over the past couple days?" La defensa de Hayes: "I sold to a willing seller at a price."

El bug no tuvo que ser explotado para hacer daño. Solo tuvo que ser irrefutable.

El remedio que propone Shielded Labs — el pool Ironwood, con verificación formal y revisión asistida por IA para por fin probar que no existe ZEC falso — se apoya en exactamente lo que acaba de fallar. La cura para un bug encontrado por IA incluye más IA.

El mercado y el vacío

ZEC venía de un rally de monedas de privacidad, máximos de seis meses cerca de $680 a fines de mayo. Después del disclosure: cierre del 3 de junio en $623,99, del 5 de junio en $389,86, con mínimo intradía cerca de $309. Unos 38% en 24 horas, cerca de 50% pico a valle en 48 horas según BitMEX. El volumen del 5 de junio: ~68% sobre el promedio de 30 días, más de $2.900 millones. Cascada de liquidaciones forzadas. Las posiciones largas dominaron — ~$70,55 millones contra ~$11,36 millones de cortas. Una ballena perdió ~$70 millones en un día. Unos $2.400 millones de capitalización evaporados.

El disclosure cayó sobre un vacío de liderazgo. En enero de 2026, todo el equipo de Electric Coin Company renunció en una pelea de gobernanza con la junta de Bootstrap. El CEO Josh Swihart lo llamó "constructive discharge". Para junio, Zcash no tenía mantenedor unificado. El fix lo improvisaron entre ingenieros de ZODL — Jack Grigg, Daira-Emma Hopwood, Kris Nuttycombe — y la Zcash Foundation. Casi no había nadie en casa cuando apareció el bug más consecuente de su historia.

Para el 9 de junio, ZEC rebotó ~80% desde el mínimo, hacia $470–$480, ayudado por Ironwood y la ausencia de evidencia de explotación. El mercado recuperó el precio. La certeza, no.

Atribución

Perpetrador: una función mal elegida. assign_advice donde iba copy_advice. No hubo atacante con nombre — hubo un gadget que mintió y un verificador que le creyó durante cuatro años.

Cómplices: las firmas de auditoría que pasaron por encima — QEDIT, NCC, y Least Authority, que en 2025 escribió explícitamente "no issues in the changes made to the Halo2 gadgets." Y la ideología sin trusted setup que prometió que esta clase de riesgo estaba eliminada. Halo 2 quitó la ceremonia para que no tuvieras que confiar en nadie. Soundness se rompió de todos modos.

Falla sistémica: un proyecto que dejó salir a todo su equipo de ingeniería en una pelea de junta meses antes de que el auditor de IA más avanzado de la historia apuntara hacia su circuito. Una industria que confunde "auditado" con "seguro" y "sin trusted setup" con "inquebrantable".

Días después, Hornby anunció que agregaba Monero a su cola: "Absolutely! I'll add Monero to my queue of things to audit." XMR cayó ~10%. Una moneda de privacidad perdió un décimo de su valor por el mero anuncio de que un auditor de IA la tenía en lista.

El arma se vende por suscripción. Y la próxima diana ya movió un mercado entero antes de que exista un exploit — solo porque el auditor dijo su nombre.

La IA no encontró el bug en cuatro años. Lo encontró en su primer día, despierta apenas unas horas.

¿Qué circuito sigue? ¿Y el que lo apunte la próxima vez va a abrir un issue en GitHub — o simplemente se va a poner a acuñar?