Zcash (ZEC) ist am Freitagmorgen auf 340 US-Dollar abgesackt und hat damit binnen weniger Tage deutlich an Wert verloren. Auslöser ist die Offenlegung einer kritischen Sicherheitslücke im Orchard-Shielded-Pool, dem zentralen Privatsphäre-Mechanismus des Netzwerks. Der Bug hätte es theoretisch erlaubt, unbegrenzt und nicht nachweisbar gefälschte ZEC zu erzeugen.
Gefunden wurde die Schwachstelle vom unabhängigen Sicherheitsforscher Taylor Hornby, der die Protokoll-Prüfung seit April im Auftrag der gemeinnützigen Organisation Shielded Labs durchführte. Bemerkenswert ist die Methode: Hornby setzte am 29. Mai das einen Tag zuvor veröffentlichte KI-Modell Opus 4.8 von Anthropic in Kombination mit einem eigenen Audit-Framework ein. Mit dieser Unterstützung schrieb er einen funktionierenden Exploit, der in einer lokalen Testumgebung beliebig viele Falschmünzen generierte. Auf dem Mainnet ausgeführt, hätte derselbe Code laut Shielded Labs unbegrenzte, nicht erkennbare Falsch-ZEC im Wallet des Angreifers erzeugt.
Technisch handelte es sich um einen sogenannten Soundness-Bug: Eine zu locker gesetzte Bedingung im Orchard-Schaltkreis erlaubte es, falsche Eingaben durch eine kryptografische Prüfung der elliptischen Kurve zu schleusen, ohne dass die Prüfung fehlschlug. Das Netzwerk hätte also Transaktionen akzeptiert, die es eigentlich hätte ablehnen müssen. Brisant ist dabei die Privatsphäre-Architektur selbst: Weil Orchard Beträge und Guthaben per Design verbirgt, wären frisch erzeugte Falschmünzen von echten ZEC nicht zu unterscheiden gewesen.
Die Lücke existierte seit dem Start des Orchard-Pools im Mai 2022 und blieb über Jahre unentdeckt – trotz Prüfung durch erfahrene Kryptografen. Nach vertraulicher Abstimmung mit Minern und Börsen ab dem 31. Mai reagierten die Entwickler in zwei Stufen: Zunächst deaktivierte ein Soft Fork am 2. Juni Orchard-Transaktionen vorübergehend, anschließend stellte der Hard-Fork-Upgrade NU6.2 am 3. Juni den Pool mit korrigiertem Schaltkreis wieder her.
Warum die Privatsphäre zum Problem wird
Das Kernproblem bleibt auch nach dem Patch bestehen: Es lässt sich kryptografisch nicht beweisen, ob die Lücke vor ihrer Behebung bereits ausgenutzt wurde. Shielded Labs hält eine vorherige Ausnutzung für unwahrscheinlich – mit dem Argument, dass der Bug jahrelang selbst unter Beobachtung führender Kryptografen unentdeckt blieb und Hornbys Fund eine gezielte, hochspezialisierte Suche voraussetzte. Eine Garantie ist das jedoch nicht.
Genau hier zeigt sich die strukturelle Spannung im Zcash-Modell. Dieselbe Privatsphäre, die das Netzwerk auszeichnet, macht eine Überprüfung des tatsächlichen Geldumlaufs unmöglich. Shielded Labs hat deshalb für die kommende Woche einen detaillierten Vorschlag für ein weiteres Netzwerk-Upgrade angekündigt. Vorgesehen sind ein neuer Shielded Pool sowie eine sogenannte Turnstile-Accounting-Mechanik für alle Coins, die Orchard verlassen – damit soll die Integrität des ZEC-Angebots wieder verifizierbar werden. Der Vorschlag muss allerdings noch den Governance-Prozess von Zcash durchlaufen.
Hayes kapituliert – das Ende der „Holy Trinity“
Die Reaktion erreichte auch prominente Investoren. Arthur Hayes, Mitgründer der Börse BitMEX und CIO von Maelstrom, gab auf X bekannt, seine komplette ZEC-Position verkauft zu haben. Hayes hatte Zcash erst am 22. Mai zusammen mit Hyperliquid (HYPE) und Near Protocol (NEAR) zu seiner „Holy Trinity“ erklärt – drei Token, die jeweils im Zentrum einer eigenen Markterzählung stehen: dezentraler Handel, Privatsphäre und KI-gestützte Infrastruktur.
Hayes begründete den Ausstieg damit, dass eine Falschmünzung zwar äußerst unwahrscheinlich, aber eben nicht formal kryptografisch auszuschließen sei. Die These der Privatsphäre gegenüber KI, Staat und Big Tech verlange Perfektion, nicht bloß Unwahrscheinlichkeit. Einen Wiedereinstieg schloss er nicht aus: Sollten sich seine Annahmen als falsch erweisen, wolle man die Position neu bewerten und ZEC gegebenenfalls zu tieferen Kursen zurückkaufen.
Für Anleger bleibt die zentrale Frage offen, ob das angekündigte Supply-Upgrade das Vertrauen in die Angebotsintegrität wiederherstellen kann. Bis dahin steht ein Privacy-Coin im Fokus, dessen größte Stärke sich im Krisenfall als seine größte Schwäche erwiesen hat.
Raphael Lulay ist Herausgeber und Redakteur von boersen-parkett.de. Er verfügt über einen akademischen Hintergrund in Politik, Soziologie und Verwaltung (B.A.) und berichtet seit 2018 über Kryptowährungen, Bitcoin, Altcoins und digitale Kapitalmärkte. Neben seiner Tätigkeit auf boersen-parkett.de veröffentlicht er regelmäßig Beiträge auf Block-Builders.de und Bitcoin-2Go.de. Zuvor schrieb er auch für Finanzpublikationen wie Fonds Finanz und das B.MAG Bankenmagazin. Sein Fokus liegt auf der datenbasierten Einordnung von Marktbewegungen, Kapitalflüssen, Regulierung und Krypto-Trends für Anleger. E-Mail: [email protected]
Boersen-Parkett bei Google als bevorzugte Nachrichtenquelle markieren und keine Finanz- und Krypto-News mehr verpassen. Wie funktioniert das?