Zcash eilt mit Notfall-Patch zur Behebung eines 'Soundness'-Fehlers, der unbegrenzte ZEC-Erstellung ermöglicht hätte

Zcash hat diese Woche ein zweistufiges Notfall-Netzwerk-Upgrade abgeschlossen, um eine kritische Schwachstelle in seinem Orchard-Shielded-Pool zu beheben – einen 'Soundness'-Fehler in der Zero-Knowledge-Proof-Schaltung, der es einem Angreifer theoretisch ermöglicht hätte, unbegrenzt und unentdeckbar ZEC zu erstellen. Der Bug wurde am 29. Mai von dem Sicherheitsforscher Taylor Hornby während eines von Shielded Labs in Auftrag gegebenen Protokoll-Audits entdeckt, bei dem Anthropics Claude Opus 4.8 AI-Modell zum Einsatz kam. Die Behebung erfolgte schnell: ein Soft Fork am 2. Juni, gefolgt von einem Hard Fork am nächsten Tag.

Wie der Fehler gefunden wurde

Hornbys Audit deckte eine Schwachstelle auf, die seit der Aktivierung von Orchard im Mai 2022 – also seit vier Jahren – lauerte. Ein funktionierender Proof-of-Concept zeigte, dass in einer lokalen Testumgebung unbegrenzt gefälschte ZEC erstellt werden konnten. Der Fehler hat jedoch nie das reale ZEC-Angebot im Live-Netzwerk aufgebläht, so die interne Turnstile-Buchhaltungsmechanik von Zcash. Dennoch gibt es aufgrund der Datenschutzeigenschaften von Shielded-Transaktionen keine definitive kryptografische Möglichkeit zu beweisen, dass nie eine Ausnutzung stattgefunden hat. Die Reaktion des Projekts war aggressiv: Zebra 4.5.3 (Soft Fork) deaktivierte Orchard-Transaktionen am 2. Juni, und Zebra 5.0.0 (Hard Fork NU6.2) patchte den Fehler und aktivierte sie bereits am nächsten Tag wieder.

Markt-Achterbahn

Der Markt feierte den Hard Fork zunächst. ZEC sprang am 4. Juni auf 624 $ – den Wochenhöchststand. Dann wurde es unschön. Arthur Hayes gab bekannt, dass er seine gesamte ZEC-Position am 4. Juni noch am selben Tag verkauft hatte, und der Preis stürzte um etwa 50 % auf 309 $ am 5. Juni ab, wodurch über 3 Milliarden Dollar an Marktkapitalisierung vernichtet wurden. ZEC hat sich seitdem etwas erholt und wird nach einer Bestätigung von Electric Coin Company CEO Josh Swihart am 7. Juni, dass der Fix abgeschlossen und das Netzwerk sicher sei, bei etwa 430 $ gehandelt.

Der Bug war eine große Sache, weil er das Kernversprechen von Zcash traf: dass Shielded-Transaktionen privat und 'sound' sind. Wenn ein Angreifer still ZEC drucken könnte, wäre die gesamte Datenschutzerzählung vergiftet. Die Geschwindigkeit der Reaktion – zwei Forks in zwei Tagen – deutet darauf hin, dass das Team wusste, wie schlimm es hätte sein können. Swiharts Aussage vom 7. Juni zielte darauf ab, die Nutzer zu beruhigen, dass das Netzwerk jetzt sicher sei, aber die Unsicherheit darüber, ob jemals jemand den Fehler ausgenutzt hat, bleibt eine nagende Frage. Zcashs eigene Abwehrmechanismen haben keine unbefugte Werterstellung erfasst, aber Privatsphäre bedeutet, dass man nicht alles sehen kann.

Was kommt als Nächstes? Der Patch ist live, die Upgrades sind abgeschlossen. Aber achten Sie auf weitere Offenlegungen von Shielded Labs zu den Audit-Ergebnissen und behalten Sie den ZEC-Kurs im Auge, während Händler verdauen, ob das Vertrauen wirklich zurückgekehrt ist. Die Schwachstelle war vier Jahre lang vorhanden. Der Fix dauerte eine Woche.