Wu dijo que el equipo de investigación de Brave publicó un informe que señala que los riesgos de seguridad y privacidad del sistema de autorización de transacciones en blockchain zkLogin no dependen únicamente de la prueba de conocimiento cero subyacente, sino que dependen en gran medida de una serie de supuestos no claramente definidos en las capas de protocolo, como el análisis JWT/JSON, la estrategia de confianza del emisor, el enlace del contexto de emisión y la integridad del entorno de ejecución.

El documento resume tres tipos principales de vulnerabilidades: la extracción de claims permisiva y no normativa que puede aceptar JWT anómalicos; la conversión de credenciales de autenticación a corto plazo en credenciales de autorización a largo plazo sin forzar el vínculo con issuer/audience/subject/tiempo de validez, lo que puede llevar a suplantaciones entre aplicaciones (especialmente en escenarios de navegador), y enfatiza que estos problemas no son defectos del algoritmo de cifrado en sí.