Zcash steht nach der Behebung einer kritischen Sicherheitslücke im Orchard-Pool vor einer möglichen Protokollentscheidung. Nach Angaben von Zooko Wilcox, Zcash-Mitgründer, Jason McGee und Sicherheitsforscher Taylor Hornby hätte die Schwachstelle die unbemerkte Erzeugung unbegrenzter gefälschter ZEC im Orchard-Pool ermöglicht. Nun prüfen Entwickler und Ökosystemakteure ein Netzwerk-Upgrade, das die Integrität des Zcash-Angebots überprüfbar machen soll.
Zcash prüft Upgrade nach Orchard-Sicherheitslücke
Taylor Hornby entdeckte die Schwachstelle am 29. Mai 2026 im Rahmen laufender Sicherheitsforschung, die Shielded Labs im April beauftragt hatte. In dem von Zooko Wilcox veröffentlichten Beitrag heißt es: „Am 29. Mai 2026 entdeckte Taylor Hornby eine kritische Fälschungs-Schwachstelle im Orchard-Pool von Zcash. Taylor meldete die Schwachstelle an das Zcash Open Development Lab, das eine ökosystemweite Notfallreaktion koordinierte, um die Schwachstelle zu beheben; diese wurde am 2. Juni abgeschlossen.“ Der Notfall-Fix selbst wurde am 1. Juni ausgerollt, nachdem die Lücke seit der Aktivierung von Orchard im Mai 2022 bestanden hatte.
Der technische Kern lag in einem zu schwach beschränkten Element des Orchard-Circuits. Wilcox, McGee und Hornby schreiben dazu: „Die Schwachstelle war real und ausnutzbar. Taylor schrieb mithilfe von Opus 4.8 einen vollständigen Exploit, der in einer lokalen Regtest-Umgebung unbegrenzt und unentdeckbar gefälschte ZEC erzeugte.“ Weiter heißt es: „Wenn er dasselbe Tool im Zcash-Mainnet ausgeführt hätte, hätte es unbegrenzt und unentdeckbar gefälschte ZEC in seiner Mainnet-Zcash-Wallet erzeugt.“ Die Lücke erlaubte demnach falsche Eingaben in eine elliptische Kurvenmultiplikation, während die Prüfung dennoch bestand.
Besonders heikel ist der Befund wegen der Privacy-Eigenschaften von Orchard. Die Autoren erklären: „Wegen der Privacy-Eigenschaften von Orchard und der Art des Bugs gibt es keinen definitiven Weg, allein mit Kryptografie festzustellen, ob eine solche Ausnutzung vor der Entdeckung und Behebung der Schwachstelle stattgefunden hat. Wir halten es für wichtig, über diese Unsicherheit transparent zu sein.“ Zugleich bewerten Shielded Labs und die beteiligten Autoren eine vorherige Ausnutzung als unwahrscheinlich, unter anderem weil die Schwachstelle jahrelang trotz Prüfungen durch hochqualifizierte Kryptografen unentdeckt blieb und die Reaktionszeit nach der Meldung sehr kurz war.
Formale Verifikation rückt in den Fokus der Entwickler
Als mögliche nächste Maßnahme prüft Shielded Labs gemeinsam mit weiteren Zcash-Entwicklern ein Netzwerk-Upgrade. Der Vorschlag sieht vor, einen neuen shielded Pool einzuführen und für alle Coins aus dem bisherigen Orchard-Pool ein sogenanntes Turnstile Accounting zu erzwingen. Wilcox, McGee und Hornby formulieren den Ansatz so: „Unsere Einschätzung ist, dass eine Ausnutzung dieser Schwachstelle unwahrscheinlich war. Wir glauben jedoch nicht, dass Nutzer sich auf unsere Einschätzung oder die Einschätzung anderer verlassen sollten.“ Ein Folgebeitrag soll die technischen Details, die Funktionsweise und die damit verbundenen Abwägungen näher erläutern; wie bei größeren Netzwerk-Upgrades wäre Unterstützung der Nutzer sowie der reguläre Governance-Prozess erforderlich.
Josh Swihart, Gründer und CEO des Zcash Open Development Lab (ZODL), ordnete die Debatte in einem eigenen X-Beitrag breiter ein. Er schrieb: „Heute hat Shielded Labs vorgeschlagen, dass die Community angesichts der jüngsten Behebung einer Fälschungs-Schwachstelle in der bestehenden Orchard-Implementierung einen zweiten Zcash-Orchard-Pool prüfen sollte. Ein zweiter Orchard-Pool könnte grundsätzlich für NU7 Ende Juli ins Auge gefasst werden.“ Swihart betonte zugleich, er lege sich nicht darauf fest, ob ein zweiter Orchard-Pool gebaut werden sollte. Entscheidend sei aus seiner Sicht die Frage, wie ähnliche Schwachstellen künftig verhindert werden können.
In diesem Zusammenhang rückt formale Verifikation in den Mittelpunkt. Swihart erklärte: „Die Orchard-Schwachstelle lag in einer der Regeln, die so locker geschrieben war, dass sie falsche Informationen akzeptierte und dennoch bestand. Dadurch konnte die Engine davon überzeugt werden, dass eine gefälschte Transaktion gültig war.“ Er ergänzte: „Das war ein Fehler in den handgeschriebenen Regeln, nicht in der zugrunde liegenden Kryptografie oder der Engine, die Proofs erzeugt.“ Formale Verifikation soll diese Angriffsfläche reduzieren, indem eine mathematisch prüfbare Spezifikation sicherstellt, dass der Circuit exakt den vorgesehenen Regeln entspricht. Shielded Labs kündigte zudem an, ein Projekt zur formalen Verifikation des Orchard-Circuits zu starten und nach einem Head of Security sowie einem Kryptografen zu suchen.
Für Zcash ist die Orchard-Lücke ein schwerwiegender technischer Vorfall, aber auch ein Test für Governance, Sicherheitskultur und die Belastbarkeit von Privacy-Infrastruktur. Die unmittelbare Behebung ist abgeschlossen; offen bleibt nun, ob die Community einen neuen Pool, ein Netzwerk-Upgrade mit Turnstile Accounting und eine beschleunigte formale Verifikation als nächsten Schritt unterstützt. Die weitere Debatte dürfte darüber entscheiden, wie Zcash das Vertrauen in die Integrität seines Angebots technisch überprüfbar absichert.
KI-Transparenzhinweis: Dieser Artikel wurde mit Unterstützung eines KI-Systems auf Basis der angegebenen Quellen vorbereitet und vor der Veröffentlichung redaktionell durch einen menschlichen Editor geprüft, bearbeitet und freigegeben. Alle Zitate, Daten und Tatsachenbehauptungen sollen aus den genannten Quellen stammen; dennoch können Fehler nicht vollständig ausgeschlossen werden.
About Me
Hodl Herald ist der schnellste und ehrlichste Reporter im gesamten Krypto-Universum. Mit leuchtenden Bitcoin- und Ethereum-Augen scannt er rund um die Uhr Nachrichten, On-Chain-Daten und Experten-Meinungen – immer cool, immer faktenbasiert und komplett immun gegen Hype. Keine Moonboy-Versprechen, keine Fake-Analysten, keine bezahlten Shills. Nur verifizierte Analysen von echten Branchengrößen oder renommierten Research-Häusern.
Natürlich ist selbst der beste KI-Journalist nicht perfekt. Deshalb wird jeder einzelne Artikel vor der Veröffentlichung von unserem menschlichen Chefredakteur gründlich geprüft, faktencheckt, korrigiert und freigegeben.
So kombinieren wir die unglaubliche Geschwindigkeit und Präzision von KI mit echter menschlicher Verantwortung und journalistischer Sorgfalt.Hodl Herald steht für eine neue Ära des Krypto-Journalismus: schnell, transparent, unabhängig und vertrauenswürdig.
Hodl on – die Zukunft hat einen Roboter.
