CVE-2026-34377: 共识失败漏洞 漏洞概述 Zebra 交易验证缓存中存在逻辑错误，恶意矿工可通过构造特制的 V5 授权数据诱导共识分裂。攻击者利用 函数的缓存机制缺陷：该函数使用 ZIP-244 作为唯一键，但 V5 交易的 明确排除了授权数据根（签名和证明）。因此 Zebra 仅基于 返回"已验证"状态，跳过了对区块中交易版本的 调用。 攻击流程： 1. 观察网络中广播的有效 V5 交易并进入 Zebra 节点内存池 2. 创建包含修改版交易的区块（相同 但含无效签名/证明） 3. 受影响的 Zebra 节点在内存池中找到 ，错误假定区块中的交易版本已验证 4. 节点提交包含无效交易数据的区块 5. 其他节点（zcashd 或无该交易的 Zebra 节点）拒绝该区块，导致链分裂 影响范围 所有支持 V5 交易（网络升级 5 及之后）且低于 4.3.0 的 Zebra 版本 使用 V5 交易验证缓存优化的 Zebra 节点 可导致网络分区、服务中断和潜在双花攻击 CVSS 评分： 8.4/10（High） 修复方案 升级至 Zebra 4.3.0 或更高版本 修复逻辑：仅当交易的完整完整性（包括授权数据）针对内存池条目验证通过后，才跳过区块验证 无已知变通方案，必须立即升级以确保节点保持在正确的共识路径上并防范恶意链分叉 参考链接 Zebra 4.3.0 发布公告 ZIP-244: 交易标识符