Zcash meldet kritische Schwachstelle im Orchard-Shielded-Pool – ZEC bricht um 45% ein

Laut CoinMarketCap hat Zcash eine kritische Schwachstelle im Orchard-"shielded pool" offengelegt, der für Privacy-Transaktionen genutzt wird. Der Fehler hätte theoretisch ermöglichen können, nicht nachweisbare ZEC zu fälschen. Nach der Veröffentlichung der Details fiel der ZEC-Kurs innerhalb von 24 Stunden zeitweise um bis zu 45%; der Markt reagierte mit deutlich erhöhter Vorsicht gegenüber der Sicherheit des Privacy-Transaktionssystems. Die Schwachstelle wurde am 1. Juni per Patch behoben. Entdeckt wurde sie vom Sicherheitsforscher Taylor Hornby im Rahmen eines beauftragten Audits, das Shielded Labs durchführte – eine unabhängige Organisation zur Unterstützung des Zcash-Ökosystems. Der Bericht verortet das Problem im Orchard-Circuit, dem Zero-Knowledge-Proof-System, das Zcash' "shielded transactions" zugrunde liegt. Ursache seien unzureichende Eingabebeschränkungen bei elliptischen Kurvenberechnungen: Ungültige Werte konnten die Verifikation passieren und als gültige Beweise behandelt werden. In einer Testumgebung gelang es dem Team, gefälschte ZEC zu erzeugen, die nicht erkannt werden konnten. Laut Bericht besteht die Schwachstelle seit der Aktivierung von Orchard im Mai 2022. Nach der Entdeckung sei das Problem innerhalb weniger Tage behoben und der Fix am 1. Juni ausgerollt worden. Shielded Labs erklärte, es gebe derzeit keine eindeutigen Hinweise darauf, dass die Schwachstelle im Live-Netzwerk ausgenutzt wurde. Aufgrund der Privacy-Eigenschaften abgeschirmter Transaktionen lasse sich die Historie von außen jedoch nicht zweifelsfrei verifizieren. Der Bericht betont, dass der Großteil der Kursverluste kurz nach der Offenlegung eintrat und damit die sprunghaft gestiegene Sorge des Marktes um die Sicherheit des Privacy-Pools widerspiegelt. Zudem habe die Schwachstelle trotz jahrelanger kryptografischer Prüfung keine klaren Auffälligkeiten gezeigt. Externe Stellen haben bislang keine abnormalen Veränderungen des ZEC-Angebots bestätigt; die lange Laufzeit von Orchard mit diesem Fehler könnte die Risikowahrnehmung und die Einschätzung des Risikomanagements von Zcash dennoch weiter belasten.