Zcash meldet kritische Orchard-Schwachstelle – theoretisch unbegrenzte ZEC-Fälschung möglich

Laut CoinDesk hat das Zcash-Entwicklerteam eine kritische Schwachstelle im "Orchard"-Shielded-Pool offengelegt, durch die Angreifer theoretisch unbemerkt eine unbegrenzte Menge ZEC hätten erzeugen können. Die Lücke wurde Anfang dieser Woche per Notfall-Patch geschlossen. Ob sie im Mainnet vor dem Fix ausgenutzt wurde, lasse sich allein mit kryptografischen Methoden nicht zweifelsfrei feststellen. Shielded Labs, die die Veröffentlichung koordinierten, teilten am 5. Juni mit, dass das Problem seit der Aktivierung von Orchard im Mai 2022 bestanden habe und erst am 2. Juni behoben worden sei. Das zuvor öffentlich beobachtete koordinierte Netzwerk-Upgrade stand demnach direkt im Zusammenhang mit der Behebung dieser Schwachstelle. Entdeckt wurde der Fehler von dem Security-Forscher Taylor Hornby am 29. Mai im Rahmen eines "trusted" Security-Reviews; in einer lokalen Testumgebung gelang ihm anschließend ein funktionierender Exploit. Ursache seien unzureichende Constraints im Orchard-Circuit gewesen: Dadurch konnten manipulierte Inputs die Prüfung der elliptischen Kurvenmultiplikation passieren und so gefälschte ZEC generieren. Die Privacy-Mechanismen erhöhen laut Bericht die Hürden für eine nachträgliche Überprüfung. Die Entwickler betonen, es gebe derzeit keine Hinweise auf eine Ausnutzung vor dem Patch. Weil Orchard-Transaktionen jedoch mit datenschutzwahrenden Verfahren arbeiten, können Außenstehende einzelne Transaktionen nicht wie in einem vollständig transparenten Ledger verifizieren. Damit bleibt eine Restunsicherheit, ob jemals gefälschte Token in Umlauf gelangten – trotz des behobenen Fehlers. Shielded Labs stuft die historische Ausnutzbarkeit als gering ein. Als Gründe nennt das Team unter anderem, dass die Schwachstelle über längere Zeit auch erfahrenen Kryptografie-Forschern entgangen sei und sich das Zeitfenster für eine mögliche Ausnutzung nach interner Bestätigung rasch verengt habe. Parallel prüft das Team weitere Netzwerk-Upgrades. In der Mitteilung heißt es außerdem, dass die Forscher während der Prüfung Anthropics Opus-4.8-Modell sowie angepasste KI-gestützte Audit-Methoden eingesetzt hätten; die Schwachstelle sei kurz nach Veröffentlichung des neuen Modells entdeckt worden. Aktuell werde bewertet, ob ein weiteres Upgrade gestartet werden soll, um die Vollständigkeit der Zcash-Geldmenge besser zu verifizieren und externe Sorgen über gefälschte ZEC zu adressieren. Ein vorläufiger Vorschlag sieht einen neuen Shielded-Pool sowie "Turnstile Accounting"-Prüfungen für Token vor, die Orchard verlassen. Weitere Details sollen nächste Woche folgen. Entdeckung: 29. Mai 2026 Notfall-Fix abgeschlossen: 2. Juni 2026 Offenlegung: 5. Juni 2026