Ein Sicherheitsforscher entdeckte eine kritische Schwachstelle in Zcash-Knoten, die böswilligen Minern ermöglicht hätte, über 25.000 ZEC aus dem veralteten Sprout Shielded Pool des Netzwerks abzuziehen – eine Summe, die zum Zeitpunkt der Erstellung dieses Artikels etwa 6,5 Millionen US-Dollar wert ist.

Alex „Scalar“ Sol legte den Fehler am 23. März offen, laut einem am Dienstag veröffentlichten Offenlegungsbericht, der zeigte, dass zcashd-Knoten die Proof-Verifizierung für Transaktionen, die den älteren Sprout-Pool betrafen, übersprangen. Der Fehler wurde nicht ausgenutzt und alle Benutzergelder sind laut der Offenlegung sicher.

Die Schwachstelle betraf Veröffentlichungen von Juli 2020 bis heute, wobei die Zcash-Entwickler am Dienstag Version 6.12.0 veröffentlichten, um den Fix zu enthalten. Große Mining-Pools handelten schnell, um ihre Systeme zu patchen – der Luxor Mining-Pool bestätigte die Bereitstellung am 25. März, während F2Pool, ViaBTC und AntPool den Fix alle bis zum 26. März bereitgestellt hatten, so derselbe Bericht.

Die Implementierung des Zebra Full Node war von der Schwachstelle nicht betroffen, so der Bericht, und hätte eine Chain-Fork ausgelöst, wäre ein Ausnutzungsversuch unternommen worden, was eine zusätzliche Ebene des Netzwerkschutzes bietet.

Sol, der die Schwachstelle mithilfe von KI-Unterstützung entdeckte, meldete sie am 23. März an Shielded Labs. Die Organisation koordinierte sich mit dem Zcash Open Development Lab (ZODL), dessen Ingenieur Jack „str4d“ Grigg den Patch verfasste.

Für seine Offenlegung erhält Sol eine Gesamtprämie von 200 ZEC – im Wert von über 51.000 US-Dollar –, wobei Shielded Labs, ZODL, die Zcash Foundation und Bootstrap jeweils 50 ZEC beisteuern.

Der Sprout-Pool wurde im November 2020 für neue Einzahlungen geschlossen, wodurch er eine veraltete, aber immer noch aktive Komponente darstellt, die etwa 25.424 ZEC enthält, die Benutzer noch nicht auf neuere Shielded Pool-Versionen migriert haben.

Obwohl die Schwachstelle das Abziehen dieser Gelder ermöglicht hätte, erklärte das Zcash Open Development Team (ZODL), dass der „Drehkreuz“-Mechanismus von Zcash eine breitere Angebotsinflation verhindert hätte. Das Drehkreuz erfordert, dass alle Münzen, die den Sprout-Pool verlassen, nachweislich in ihn eingetreten sein müssen, wodurch eine Schutzvorkehrung gegen die Schaffung neuer Token über die gesamte Zirkulation des Netzwerks von rund 16,63 Millionen ZEC hinaus geschaffen wird.

Dies ist nicht die erste große Schwachstelle, mit der das Netzwerk konfrontiert war. Bereits 2019 behob das Netzwerk einen Fehler, der als „unendlicher Fälschungs“-Krypto-Generator beschrieben wurde, obwohl er behoben wurde, bevor er zu einem größeren Problem für das Privacy-Coin-Netzwerk wurde.

Zcash ist laut CoinGecko-Daten der größte Gewinner der letzten 24 Stunden unter den Top-100-Münzen nach Marktkapitalisierung und stieg um mehr als 14 % auf einen aktuellen Preis von über 255 US-Dollar. Der Preis der Privacy-Münze schoss im letzten Herbst von etwa 50 US-Dollar auf einen Mehrjahreshöchststand nahe 700 US-Dollar in die Höhe, ist aber in den letzten Monaten zusammen mit Bitcoin und anderen Kryptowährungen gefallen.