Wie Anthropics KI und ein menschlicher Experte den Zcash-Bug fanden, der 50 % des Werts vernichtete

Die Entdeckung: KI als Denkpartner

Der unabhängige Sicherheitsforscher Taylor Hornby, beauftragt von der Entwicklungsorganisation Shielded Labs, stellte der KI nicht einfach nur die Frage „Finde Bugs“. Er entwickelte ein eigenes Analyse-Werkzeug, den „Zcash Full-Stack Auditor“, der die KI-Fähigkeiten gezielt auf den komplexen Code des Orchard-Pools ansetzte . Orchard ist das Protokoll-Modul von Zcash für abgeschirmte, also nicht öffentlich einsehbare Transaktionen, das auf einem mathematisch anspruchsvollen Zero-Knowledge-Verfahren (Halo 2) basiert.

Das System analysierte Schritt für Schritt die Programmlogik und förderte am 29. Mai einen Widerspruch zutage, den Menschen bei mehreren formalen Prüfungen seit der Einführung von Orchard im Mai 2022 übersehen hatten . Hornby dokumentierte den Fehler nicht nur theoretisch, sondern entwickelte damit auch einen Prototypen, der Falschgeld in einer lokalen Testumgebung erzeugte – ein Beweis für die unmittelbare Ausnutzbarkeit .

Entscheidend ist: Es war eine Partnerschaft aus menschlicher Erfahrung und KI-Leistung. Der Forscher stellte die richtigen Fragen und baute das Prüfgerüst; die KI lieferte die systematische Analyse über Tausende Codezeilen hinweg .

Der Fehler: Ein mathematisches Schlupfloch

Technisch gesehen handelte es sich um einen sogenannten „Soundness“-Fehler im Zero-Knowledge-Schaltkreis des Orchard Shielded Pool . Vereinfacht gesagt: Eine Prüfroutine im Code tat nur so, als würde sie die Gültigkeit einer Transaktion kontrollieren – in Wirklichkeit ließ sie mathematisch ungültige Daten ungehindert passieren .

In einem System, das absolute Verschwiegenheit garantieren soll, war das fatal. Ein Angreifer hätte gültige Echtheitsnachweise für gefälschte Überweisungen erstellen und so unbegrenzt neue, nicht als Falschgeld identifizierbare Zcash-Token in den Umlauf bringen können .

Und hier liegt der zweite Schock für viele Anleger: Weil Orchard-Transaktionen grundsätzlich privat sind, lässt sich im Nachhinein kryptografisch nicht beweisen, ob diese Lücke jemals aktiv ausgenutzt wurde . Der Vertrauensverlust war daher nicht nur technischer, sondern vor allem psychologischer Natur.

Reaktion und Not-Update

Die Entwickler reagierten in Rekordzeit :

• 29. Mai 2026: Entdeckung und Meldung des Fehlers durch Hornby .
• 1. Juni 2026: Eine Notfallaktualisierung (Hard Fork) schaltet den verwundbaren Orchard-Pool ab .
• 3. Juni 2026: Der Fix ist netzwerkweit aktiv .
• 4. Juni 2026: Shielded Labs und Zcash-Gründer Zooko Wilcox informieren die Öffentlichkeit .

Diese Taktik – erst flicken, dann warnen – folgt dem Branchenstandard für verantwortungsvolle Sicherheitsmeldungen. Dennoch blieb das Vertrauen angeschlagen. Zur Beruhigung ließ Shielded Labs das gesamte Zcash-Protokoll von Anthropics spezialisiertem Modell Mythos prüfen; es fand keine weiteren schwerwiegenden Lücken .

Warum der Kurs abstürzte

Die öffentliche Bekanntmachung am 4. Juni löste einen panikartigen Ausverkauf aus. ZEC sackte innerhalb kürzester Zeit um etwa 40 bis 50 % ab . Die Gründe:

1. Existenzielle Verunsicherung: Ein Fehler, der unbegrenztes, nicht rückverfolgbares Falschgeld ermöglicht, trifft eine datenschutzorientierte Kryptowährung im Kern ihrer Werte – Anonymität und Werthaltigkeit.
2. Zukunftsangst: Wenn eine KI einen vier Jahre alten Fehler in nur einem Tag findet, wie viele weitere schlummern dann in anderen großen Kryptowährungen, etwa Ethereum?
3. Unlösbare Ungewissheit: Die fehlende Möglichkeit, eine frühere Ausnutzung des Bugs auszuschließen, hinterlässt einen permanenten Vertrauensbruch .

KI als Waffe und Schutzschild zugleich

Der Zcash-Vorfall ist der erste öffentlich bestätigte Fall, in dem ein hochentwickeltes KI-Modell eine kritische Schwachstelle in einem produktiven Zero-Knowledge-Protokoll aufdeckte . Das macht ihn zu einer Art Lehrstück über die Zwiespältigkeit starker KI:

• Defensive Stärke: KI-gestützte Prüfungen können Sicherheitsaudits massiv beschleunigen und Fehler aufspüren, die menschlichen Experten entgehen. Die spätere Komplettanalyse mit Mythos, die „grünes Licht“ für den Rest des Protokolls gab, deutet an, wie kontinuierliche KI-Audits künftig zum Standard werden könnten .
• Offensives Risiko: Dieselbe Fähigkeit kann missbraucht werden, um Schwachstellen im Schatten zu entdecken, bevor die Guten sie finden. Ein Krimineller, der diese Lücke im Orchard-Pool stillschweigend ausgenutzt hätte, hätte unbemerkt Werte in Millionenhöhe abschöpfen können . Die
• Ungleichgewicht der Geschwindigkeiten: Wenn eine KI eine kritische Lücke in wenigen Stunden findet, schrumpft das Zeitfenster für koordinierte Gegenmaßnahmen dramatisch. Das bisherige Modell der verantwortungsvollen Offenlegung von Sicherheitslücken gerät damit unter Zugzwang .

Fazit: Ein Weckruf für die Krypto- und KI-Branche

Der Vorfall markiert das Ende einer Ära, in der sich Entwickler komplexer Kryptoprotokolle allein auf periodische, menschliche Audits verlassen konnten. Was Hornby und Claude Opus 4.8 demonstriert haben, ist eine grundlegend neue Fähigkeit, die nun gleichermaßen für Schutz wie für Angriff zur Verfügung steht.

Für Protokollentwickler bedeutet das: Wer keine KI in seine Sicherheitsprozesse einbindet, überlässt das Spielfeld jenen, die es mit gegenteiligen Absichten tun. Für Anleger bleibt die Erkenntnis, dass selbst die am gründlichsten geprüfte Software fatale Fehler beherbergen kann – und dass eine klug geführte KI sie in Stunden aufdecken kann.

Für das gesamte Krypto-Ökosystem ist der Zcash-Crash eine unbequeme, aber wertvolle Lektion über die unaufhaltsame, zweischneidige Macht künstlicher Intelligenz.

Die Quellenangaben – beziehen sich auf die in der Recherche verwendeten Berichte und Analysen, die im Anhang des Originalartikels dokumentiert sind.