Zcash Foundation behebt konsenskritische Fehler nach rekordverdächtigem Monat mit $651 Millionen Hack

Heute, der 2. Mai 2026, hat die Zcash Foundation gerade Zebra 4.4.0 veröffentlicht und drängt alle Node-Betreiber, sofort zu aktualisieren, nachdem mehrere Sicherheitslücken behoben wurden, darunter mehrere, die den Konsens des Netzwerks hätten spalten können.

Das Patch kommt, als April als schlimmster Monat für Krypto-Exploits bisher endet. Die Blockchain-Sicherheitsfirma CertiK bestätigte etwa $651 Millionen an Gesamtverlusten in der Branche.

Welche Art von Zcash-Fehlern behebt Zebra 4.4.0?

Das Update behebt fünf separate Schwachstellen in Zebra, der Rust-basierten Zcash-Node-Implementierung, die von der Zcash Foundation entwickelt wurde. Drei der Fehler sind konsenskritisch, was bedeutet, dass Angreifer sie ausgenutzt und Zebra-Node dazu gebracht hätten, Transaktionen zu akzeptieren, die Legacy-zcashd-Clients abgelehnt hätten, wodurch das Netzwerk gespalten worden wäre.

Das schwerwiegendste Problem (GHSA-28xj-328h-72vm) ermöglichte es einem Remote-Hacker, einen Node dauerhaft daran zu hindern, neue Blöcke zu entdecken, mit nur einer einzigen Verbindung. Der Angriff kombinierte drei Schwachstellen in der Art und Weise, wie Zebra Informationen teilte und herunterlud. 

Laut der Mitteilung der Zcash Foundation „produzierte der Exploit Null Fehlverhaltenswerte, Null Sperren und Null Trennungen“, wodurch er für Standardüberwachungstools unsichtbar blieb.

Ein zweiter Fehler (GHSA-jv4h-j224-23cc) führte auch dazu, dass Zebra die Anzahl der Signaturen in einem Block von Transaktionen verlor (er zählte normalerweise weniger als das 20.000-Sigop-Block-Limit).

Offenbar ignorierte Zebra’s System zwei spezifische Arten von Skripten (das scriptSig des Coinbase-Inputs und P2SH-Signaturen) während der Blockvalidierung. Aufgrund dessen konnte ein Angreifer einen Block erstellen, der beide Lücken ausnutzte, Zebra’s Prüfungen bestand, aber auf zcashd fehlschlug und eine Chain-Split erzeugte.

Das dritte große Problem (GHSA-gq4h-3grw-2rhv) geschah aufgrund eines vorherigen sighash-Patches, der veraltete Daten in einem temporären Speicherbereich (Buffer) hinterließ, der über Zebra’s C++ Foreign Function Interface lesbar war. 

Ein Angreifer konnte dies ausnutzen, indem er einen gültigen Signaturen verwendete, um den Buffer mit korrekten Informationen zu füllen, und dann eine zweite Transaktion mit einem ungültigen Hash-Typ sendete, der basierend auf den zurückgelassenen Daten die Überprüfung bestehen würde. 

Um dies zu lösen, wandte die Foundation einen temporären Fix an, der den Buffer mit zufälligen Bytes durchsetzt, wenn eine Prüfung fehlschlägt, und verhindert so, dass das System alte Informationen wiederverwendet, bis ein permanenter Fix bereitgestellt wird.

Die letzten beiden Fehler verursachten Uneinigkeiten zwischen anderen Teilen des Systems. Ein Fehler überlastete das Netzwerk, indem er zu viel Speicher beim Lesen von Nachrichten verwendete (GHSA-438q-jx8f-cccv). Der andere war eine geringfügige Codeabweichung in der Art und Weise, wie Zebra bestimmte Transaktionen verifizierte (GHSA-cwfq-rfcr-8hmp).

Die Foundation merkte an, dass Letzteres praktisch nicht ausnutzbar war, ging aber trotzdem daran, es zu patchen, um das Verhalten von zcashd zu entsprechen. Der Sicherheitsforscher Sangsoo-osec wurde dafür credited, drei der fünf Probleme entdeckt zu haben.

Hätte die Veröffentlichung zu einem besseren Zeitpunkt kommen können?

Laut DeFiLlama, April 2026 war der am meisten gehackte Monat in der Krypto-Geschichte (nach Anzahl der Vorfälle) und litt unter geschätzten 28 bis 30 separaten Angriffen. CertiKs X-Post Bericht vom 30. April setzte die Gesamtverluste auf etwa $651 Millionen, das höchste seit März 2022, mit Ausnahme des Bybit-Breaches im Februar 2025.

Zwei Vorfälle waren für den Großteil des Schadens verantwortlich. Am 1. April verlor Drift Protocol etwa $285 Millionen in einer Social-Engineering-Operation, die mit Nordkoreas Lazarus-Gruppe in Verbindung gebracht wurde. Bis zum 18. April hatte KelpDAO seinen eigenen $293 Millionen Message-Spoofing-Exploit erlitten, der eine LayerZero Cross-Chain-Brücke angriff, laut Cryptopolitan. 

Bemerkenswerterweise zielten keine der April-Exploits direkt auf Zcash ab. Aber das schiere Volumen der Angriffe über Ketten hinweg spiegelt wider, warum seine Foundation das Zebra-Update als „kritisch“ bezeichnete und die sofortige Adoption vorantrieb.

Was Zcash-Node-Betreiber tun sollten

Die Foundation rät allen Betreibern, sofort auf Zebra 4.4.0 zu aktualisieren, da die Veröffentlichung keine anderen signifikanten Änderungen außer den Sicherheitsfixes einführt. 

Node-Betreiber, die ältere Versionen betreiben, bleiben allen fünf Schwachstellen ausgesetzt, einschließlich des Block-Entdeckungs-Halts, der nur eine einzige böswillige Verbindung zur Ausführung benötigt.

ZEC bei $377.46 zum Zeitpunkt des Schreibens, laut CoinMarketCap, mit einer Marktkapitalisierung von $6,28 Milliarden.