Zcash behebt gravierendes Sicherheitsproblem in veraltetem Privatpool mit 25.000 ZEC

Zcash (ZEC) hat eine gravierende Sicherheitslücke geschlossen, die potenziell hätte genutzt werden können, um Gelder aus einem veralteten Teil des Netzwerks abzuziehen. Das Problem betraf den sogenannten Sprout-Pool, eine ältere Datenschutzfunktion, in der noch rund 25.424 ZEC gespeichert sind.

Bug seit 2020 vorhanden

Die Sicherheitslücke wurde von dem Sicherheitsforscher Alex „Scalar“ Sol entdeckt und am Dienstag öffentlich gemacht. Bestimmte ältere zcashd-Nodes übersprangen eine entscheidende Prüfung bei Transaktionen. Dadurch wurde der kryptografische Nachweis, der normalerweise die Gültigkeit von Transaktionen bestätigt, nicht immer verifiziert.

Der Fehler bestand seit Juli 2020 in verschiedenen Softwareversionen. Das bedeutet, dass die Lücke fast sechs Jahre unbemerkt im System vorhanden war. Inzwischen wurde das Problem mit der Einführung von zcashd Version 6.12.0 behoben.

Laut dem Zcash-Team gibt es keine Hinweise darauf, dass die Bug tatsächlich ausgenutzt wurde. Alle Guthaben der Nutzer sind sicher geblieben.

Was ist der Sprout-Pool?

Der Sprout-Pool wurde 2016 eingeführt und nutzte Zero-Knowledge-Proofs, eine Technologie, die es Nutzern ermöglicht, vollständig private Transaktionen durchzuführen, ohne dass die Details auf der Blockchain sichtbar sind. Seit November 2020 ist der Pool für neue Einzahlungen geschlossen, aber die verbleibenden ZEC müssen noch in neuere Systeme migriert werden.

Mining-Pools reagierten schnell

Große Mining-Pools wie Luxor, F2Pool, ViaBTC und AntPool haben das Update bereits am 26. März implementiert. Das deutet auf eine schnelle und koordinierte Reaktion im Netzwerk hin.

Nicht alle Systeme waren betroffen. Die alternative Zebra Full Node-Software war nicht betroffen. Bei einem eventuellen Missbrauch hätte dies wahrscheinlich zu einer Aufspaltung der Blockchain geführt, was als zusätzliche Sicherheitsmaßnahme fungiert hätte.