Eine Blockchain soll ihre Geschichte unveränderlich festhalten. Beim Privacy-Coin Zano gilt das plötzlich nicht mehr. Nach einer schweren Schwachstelle hat das Projekt sein Netzwerk auf Block 3.833.000 zurückgesetzt und damit ungefähr einen Monat bestätigte Transaktionen aus der maßgeblichen Kette entfernt.
Der Schritt soll unerlaubt erzeugte ZANO und den privaten Dollar-Token fUSD beseitigen. Er trifft jedoch nicht nur den Angreifer. Auch legitime Zahlungen aus dem betroffenen Zeitraum gelten auf der wiederhergestellten Blockchain nicht mehr. Nutzer müssen deshalb prüfen, ob vermeintlich abgeschlossene Geschäfte überhaupt noch existieren.
Eine neue Funktion öffnete das Einfallstor
Auslöser war nach Angaben des Zano-Teams eine Schwachstelle in den sogenannten Gateway Addresses. Diese Funktion wurde mit Hard Fork 6 am 26. August aktiviert und sollte Börsen, Zahlungsdiensten und anderen Anbietern die Integration des auf Privatsphäre ausgerichteten Netzwerks erleichtern.
Die Sicherheitslücke erlaubte es, ZANO und fUSD außerhalb der vorgesehenen Ausgaberegeln in Umlauf zu bringen. Das Team erklärt, dass weder private Ausgabeschlüssel noch die Privatsphäre gewöhnlicher Transaktionen kompromittiert worden seien. Das Kernproblem lag demnach bei der Ausgabe von Vermögenswerten über die neue Gateway-Infrastruktur.
Aus einem Notfalltag wurde ein ganzer Monat
Zunächst war von einem deutlich kürzeren Eingriff die Rede. Die schließlich umgesetzte Lösung geht bis zum Block unmittelbar vor Hard Fork 6 zurück. Knotenbetreiber, Miner, Staker, Börsen und Zahlungsdienste müssen eine Notfallversion installieren und sich auf die wiederhergestellte Kette einigen.
Der technische Begriff Rollback klingt harmlos. Praktisch bedeutet er, dass sämtliche Zano-Transaktionen nach Block 3.833.000 nicht Bestandteil der neuen Hauptkette sind. Eine Zahlung kann beim Empfänger sichtbar und bestätigt gewesen sein und nun trotzdem fehlen. Bereits auf anderen Blockchains abgeschlossene Zahlungen in USDT, DAI oder weiteren Vermögenswerten lassen sich durch Zano nicht zurückdrehen.
Der Schaden verschiebt sich auf Unbeteiligte
Genau darin liegt der eigentliche Aufreger. Die unerlaubt erzeugten Token verschwinden aus der Zano-Kette, reale Gegenleistungen können aber längst erbracht worden sein. Wer Waren, Dienstleistungen oder Coins gegen später gelöschte ZANO oder fUSD herausgegeben hat, besitzt möglicherweise keine automatisch rückholbare Gegenposition.
Das Freedom-Dollar-Projekt erklärte laut Bitcoin.com, dass Vermögenswerte im Wert von mehreren Millionen Dollar gegen gefälschte fUSD getauscht worden seien. Das Projekt wolle diese Verluste selbst übernehmen und hat die wirtschaftliche Aktivität rund um fUSD zunächst pausiert. Ein vollständiges Verfahren für Erstattungen und Ansprüche soll noch veröffentlicht werden.
Unveränderlichkeit endet bei sozialem Konsens
Blockchains sind nicht durch Magie unveränderlich. Sie bleiben unverändert, solange Teilnehmer dieselben Regeln ausführen und keine ausreichende Mehrheit eine andere Historie übernimmt. Bei Zano koordiniert das Kernteam nun genau einen solchen Wechsel. Die technische Kette folgt damit einer sozialen Entscheidung über die weniger schädliche Vergangenheit.
Das ist nicht ohne historische Vorbilder. Bitcoin korrigierte 2010 nach einem Inflationsfehler seine Kette, Ethereum spaltete sich nach dem DAO-Angriff 2016. Der Unterschied liegt im Ausmaß und in der heutigen Reife des Marktes. Einen Monat bestätigte Zahlungen zu verwerfen, ist kein normaler kurzer Reorg und erschüttert das Vertrauen in die Endgültigkeit kleinerer Netzwerke.
Der Kurs zeigt den Vertrauensverlust
ZANO fiel laut CoinGecko am Montagmorgen auf rund 6,33 Dollar. Das entspricht einem Minus von etwa 13 Prozent innerhalb von 24 Stunden und fast 24 Prozent in sieben Tagen. Die Marktkapitalisierung lag bei knapp 98 Millionen Dollar. Besonders auffällig ist das sehr geringe tägliche Handelsvolumen von weniger als 50.000 Dollar.
Bei einer so dünnen Liquidität können einzelne Käufe oder Verkäufe den Kurs stark verschieben. Die angezeigte Marktkapitalisierung darf deshalb nicht mit der Summe verwechselt werden, die Anleger gleichzeitig aus dem Markt ziehen könnten. Für Kleinanleger erhöht der Sicherheitsvorfall damit nicht nur das Technikrisiko, sondern auch das Risiko schlechter Ausführungspreise.
Was Zano-Nutzer jetzt beachten müssen
- Wallet nur aus offizieller Quelle aktualisieren Das Team verweist auf zano.org und die offizielle GitHub-Seite. Eine Seed Phrase ist für das Update nicht erforderlich.
- Alte Zahlungen nicht blind wiederholen Nutzer sollten nach dem Update zuerst prüfen, ob eine Transaktion auf der wiederhergestellten Kette fehlt und ob die Gegenpartei bereits eine Leistung erbracht hat.
- Transaktionsnachweise sichern Kennungen, Rechnungen, Chatverläufe und Börsenabrechnungen können für Erstattungsansprüche entscheidend werden.
- Börsenstatus kontrollieren Ein Dienst kann noch auf der verworfenen Kette arbeiten. Ein- oder Auszahlungen sind erst sinnvoll, wenn der Anbieter die Umstellung bestätigt hat.
- fUSD vorerst nicht bewegen Das verbundene Projekt hat seine Nutzer selbst aufgefordert, wirtschaftliche Aktivitäten bis zur Stabilisierung auszusetzen.
Warum das für Anleger wichtiger ist als Zano
Der Fall liefert eine allgemeine Warnung für kleine Layer-1-Netzwerke. Neue Funktionen erhöhen den Nutzen, vergrößern aber auch die Angriffsfläche. Je kleiner die Entwicklergemeinde, die Zahl unabhängiger Prüfer und die ökonomische Absicherung eines Netzwerks, desto stärker hängt die Sicherheit von wenigen Akteuren ab.
Ein Rollback kann im Katastrophenfall den größeren Schaden verhindern. Er offenbart zugleich, dass bestätigte Transaktionen keine unumstößliche Endgültigkeit besaßen. Zano muss nun nicht nur Code reparieren und Betroffene entschädigen. Das Projekt muss erklären, warum die Gateway-Funktion den Fehler überstand und wie verhindert wird, dass die nächste bequeme Integration erneut die Geldmenge oder die Geschichte des Netzwerks gefährdet.
Quellen
- Zano-Team mit der Sicherheitsmeldung und dem Wiederherstellungsplan
- Bitcoin.com mit Angaben zu fUSD und den wirtschaftlichen Folgen
- CoinGecko mit aktuellen ZANO-Marktdaten
Disclaimer
Keine Anlageberatung: Dieser Artikel dient der journalistischen Information und Einordnung. Kleine Kryptowährungen und Stablecoins können erhebliche Technik-, Liquiditäts-, Gegenparteien- und Kursrisiken aufweisen. Verluste bis hin zum Totalverlust sind möglich.
