Le rôle de responsable de la sécurité de l’écosystème Zcash a été créé grâce à une subvention de ZCG afin de fournir une ingénierie de sécurité dédiée à l’ensemble de l’écosystème Zcash — en particulier aux bénéficiaires de subventions ZCG — en dehors d’ECC et de ZF.
L’initiative ZCG sur la sécurité et la divulgation des vulnérabilités fournit un cadre pour la divulgation coordonnée des vulnérabilités de sécurité à travers l’écosystème Zcash.
Electric Coin Company et Zcash Foundation se conforment toutes deux à cette norme de divulgation responsable, avec la déviation suivante :
"Zcash est une technologie qui offre une forte confidentialité. Les notes sont chiffrées vers leur destination, puis la masse monétaire est préservée grâce à des preuves à divulgation nulle de connaissance destinées à ne pouvoir être créées que par le véritable détenteur de Zcash. Si cela échoue et qu’un bug de contrefaçon en résulte, ce bug de contrefaçon pourrait être exploité sans qu’il n’existe aucun moyen pour les analystes de la blockchain d’identifier l’auteur ou de déterminer quelles données de la blockchain ont été utilisées pour exploiter le bug. Les rollbacks antérieurs à ce point, comme cela a été exécuté dans certains autres projets dans de tels cas, sont donc impossibles. La norme décrit les rapporteurs de vulnérabilités comme incluant tous les détails d’un problème, afin de le reproduire. Cela est nécessaire, par exemple, dans le cas d’un chercheur externe démontrant et prouvant qu’il existe réellement un problème de sécurité, et que ce problème de sécurité a réellement l’impact qu’il affirme — permettant à l’équipe de développement de hiérarchiser et de résoudre précisément le problème. Dans le cas d’un bug de contrefaçon, cependant, tout comme dans CVE-2019-7167, nous pourrions décider de ne pas inclure ces détails dans nos rapports aux partenaires avant la publication coordonnée, tant que nous sommes certains qu’ils sont vulnérables."