ZEC stürzt nach kritischer "Infinite-Minting"-Schwachstelle im Orchard-Pool um über 31% ab

Martian Finance berichtet, dass Zcash-Gründer Zooko Wilcox am 5. Juni eine kritische Fälschungs-Schwachstelle im Zcash-Orchard-Pool offengelegt hat. Demnach hätte die Lücke genutzt werden können, um innerhalb des Orchard-Pools eine unbegrenzte Menge nicht nachweisbarer, gefälschter ZEC zu erzeugen. Entdeckt wurde das Problem am 29. Mai vom Security-Researcher Taylor Hornby im Rahmen eines gezielten Audits unter Einsatz des Modells Anthropic Opus 4.8. Hornby meldete den Befund an das Zcash Open Development Lab (ZODL). ZODL koordinierte anschließend eine Notfallreaktion im gesamten Zcash-Ökosystem; der Fix wurde am 2. Juni fertiggestellt. Hornby entwickelte zudem in einer lokalen Regtest-Umgebung mit Opus 4.8 ein vollständiges Exploit-Programm, das in Tests unbegrenzt und ohne Erkennung gefälschte ZEC erzeugen konnte. Bei einem Einsatz im Zcash-Mainnet hätte das Tool dem Bericht zufolge unbegrenzt, nicht nachweisbar gefälschte ZEC in Mainnet-Zcash-Wallets generieren können. Ursache war ein unzureichend eingeschränktes Element im Orchard-Circuit: Angreifer konnten demnach beliebige falsche Werte in eine Multiplikation auf elliptischen Kurven einspeisen und dennoch die Verifikationsprüfung der Multiplikation passieren. Der Fehler bestand seit Aktivierung des Orchard-Protokolls im Mai 2022 bis zur Ausbringung des Notfall-Patches am 1. Juni 2026. Aufgrund der Privacy-Eigenschaften von Orchard und der Beschaffenheit der Schwachstelle ist es derzeit nicht möglich, allein mit kryptografischen Methoden festzustellen, ob die Lücke vor dem Fix ausgenutzt wurde. Shielded Labs hält eine frühere Ausnutzung zwar für unwahrscheinlich, prüft aber ein Network-Upgrade, um einen neuen Privacy-Pool einzuführen und eine Turnstile-Accounting-Mechanik für alle Token im Orchard-Pool zu implementieren. Damit soll es für jeden möglich werden, die Integrität der Zcash-Geldmenge zu verifizieren und das Nichtvorhandensein gefälschter ZEC im Orchard-Pool nachzuweisen. Im Zuge der Meldung fiel ZEC laut Marktdaten binnen 24 Stunden um über 31% auf 410,50 US-Dollar.