Zcash heeft een ernstige kwetsbaarheid verholpen die kwaadwillenden in staat zou hebben gesteld om fondsen af te voeren uit de verouderde Sprout shielded pool van het protocol.
Een openbaarmakingsrapport van beveiligingsonderzoeker Alex “Scalar” Sol, dinsdag gepubliceerd, beweert dat een kritieke fout werd ontdekt in zcashd-nodes die resulteerde in het overslaan van bewijsverificatie voor transacties waarbij de verouderde Sprout pool betrokken was.
De Sprout pool van Zcash is de oorspronkelijke “shielded pool” die in 2016 met het netwerk werd gelanceerd. Het was de eerste implementatie van zero-knowledge proofs (zk-SNARKs) in een productie-cryptocurrency, waardoor gebruikers ZEC privé konden verzenden en ontvangen.
Hoewel de pool in november 2020 werd gesloten voor nieuwe stortingen, bevat deze nog steeds ongeveer 25.424 ZEC, die nog moeten worden gemigreerd naar nieuwere shielded pool-versies.
Volgens de openbaarmaking bestond de kwetsbaarheid in releases vanaf juli 2020, maar werd deze verholpen met v6.12.0, dat dinsdag werd uitgebracht. Tot nu toe is de fout niet uitgebuit en blijven gebruikersfondsen veilig.
Grote mining pools, waaronder Luxor, F2Pool, ViaBTC en AntPool, hebben de fix al geïmplementeerd vóór 26 maart, aldus het rapport.
Het rapport voegde eraan toe dat de Zebra full node-implementatie niet werd beïnvloed. In het geval van een poging tot exploitatie, zou dit hebben geresulteerd in een chain fork, die zou dienen als een extra beveiliging.
Ondanks de ernst van het probleem heeft het Zcash Open Development Team verduidelijkt dat het “draaideur”-mechanisme van het netwerk, dat afdwingt dat munten die de Sprout pool verlaten, deze eerder moeten zijn binnengekomen, een bredere toevoerinflatie zou hebben voorkomen.
Voor het Zcash-netwerk markeert dit de tweede keer dat een kritieke, systemische kwetsbaarheid is ontdekt binnen zijn shielded pools. In 2019 onthulde het Zcash-team een “vervalsings”-bug, een fout in de onderliggende cryptografie die een aanvaller in staat zou hebben gesteld een oneindige hoeveelheid ZEC te creëren zonder detectie.