Zcash-Anfälligkeit, durch die Millionen Dollar an ZEC gefährdet waren, wurde behoben

Kurz gesagt

• Ein Sicherheitsexperte entdeckte eine kritische Schwachstelle in Zcash-Knoten, die die Verifikation des veralteten Sprout-geschützten Pools umging.
• Große Mining-Pools setzten das Update innerhalb von drei Tagen ein, während die Zcash-Entwickler am Dienstag v6.12.0 veröffentlichten.
• Zcash' „Turnstile“-Mechanismus hätte eine stärkere Ausweitung der Geldmenge verhindert, selbst wenn der Pool kompromittiert worden wäre.

Ein Sicherheitsexperte entdeckte eine kritische Schwachstelle in Zcash-Knoten, die es böswilligen Minern ermöglicht haben könnte, mehr als 25.000 ZEC aus dem veralteten Sprout-geschützten Pool des Netzwerks abzulassen – eine Summe, die zum Zeitpunkt der Erstellung etwa 6,5 Millionen US-Dollar wert war. Alex „Scalar“ Sol legte den Fehler am 23. März offen, wie aus einem am Dienstag veröffentlichten Offenlegungsbericht hervorgeht. Dabei zeigte sich, dass zcashd-Knoten die Verifikationsprüfung für Transaktionen übersprangen, die den Legacy-Sprout-Pool betrafen. Der Bug wurde nicht ausgenutzt und die Gelder aller Nutzer bleiben laut der Offenlegung sicher. Die Schwachstelle erstreckte sich über Releases von Juli 2020 bis in die Gegenwart. Am Dienstag veröffentlichten die Zcash-Entwickler v6.12.0, um die Lösung einzudämmen. Große Mining-Pools gingen schnell vor, um ihre Systeme zu patchen – Luxor Mining Pool bestätigte den Einsatz am 25. März, während F2Pool, ViaBTC und AntPool den Fix alle bis zum 26. März einsetzten, wie derselbe Bericht angibt.

Die Zebra-Full-Node-Implementierung war laut dem Bericht nicht von der Schwachstelle betroffen und hätte bei einem versuchten Exploit eine Kettenfork ausgelöst, wodurch eine zusätzliche Schutzschicht für das Netzwerk bereitgestellt worden wäre. Sol, der die Schwachstelle mit Unterstützung durch KI entdeckte, meldete sie am 23. März an Shielded Labs. Die Organisation koordinierte mit dem Zcash Open Development Lab (ZODL), dessen Engineer Jack „str4d“ Grigg den Patch verfasste. Für seine Offenlegung erhält Sol eine Gesamt-Belohnung von 200 ZEC – im Wert von über 51.000 US-Dollar – wobei Shielded Labs, ZODL, die Zcash Foundation und Bootstrap jeweils 50 ZEC beisteuern. Der Sprout-Pool wurde im November 2020 für neue Einzahlungen geschlossen, wodurch er zwar als veraltet gilt, aber noch aktiv ist und ungefähr 25.424 ZEC hält, die Nutzer bislang nicht auf neuere Versionen der geschützten Pools migriert haben.

Obwohl die Schwachstelle es hätte ermöglichen können, diese Gelder abzulassen, sagte das Zcash Open Development Team (ZODL), dass der „Turnstile“-Mechanismus von Zcash eine stärkere Ausweitung der Geldmenge verhindert hätte. Der Turnstile erfordert, dass alle Coins, die den Sprout-Pool verlassen, nachweisbar in ihn gelangt sind, wodurch ein Schutzmechanismus gegen die Erzeugung neuer Token über die gesamte Netzwerkzirkulation hinaus entsteht, die bei rund 16,63 Millionen ZEC liegt. Das ist nicht das erste große Sicherheitsproblem, dem sich das Netzwerk gegenübersah. Bereits 2019 patchte das Netzwerk einen Bug, der als „unendlicher Falschgeld“-Krypto-Generator beschrieben wurde, obwohl er herausgepatcht wurde, bevor er für das Privacy-Coin-Netzwerk zu einem großen Problem werden konnte. Zcash ist den CoinGecko-Daten zufolge in den letzten 24 Stunden der größte Gewinner unter den Top-100-Coins nach Marktkapitalisierung und stieg um mehr als 14% auf einen jüngsten Preis über 255 US-Dollar. Der Preis der Privacy-Münze schoss im vergangenen Herbst von etwa 50 US-Dollar auf ein Mehrjahres-Hoch nahe 700 US-Dollar, ist jedoch in den jüngsten Monaten parallel zu Bitcoin und anderen Kryptowährungen gefallen.