Zcash-Matching-Bug löscht rund 140 RUNE aus den Bonds von 18 THORChain-Node-Betreibern
Wichtige Erkenntnisse
- •Ein Zcash-Outbound-Matching-Bug strich rund 140 RUNE aus den Bonds von 18 THORChain-Node-Betreibern, während Nutzer- und Vault-Guthaben unberührt blieben.
- •Der native ZEC-Handel bleibt pausiert, bis das Release v3.21.0 erscheint, das THORChain voraussichtlich bei Block 28,366,100 um etwa 13:40 UTC am Freitag, den 23. Oktober, aktiviert.
- •THORChains Kollateral-Design zieht bei Vault-Softwarefehlern die gebundene RUNE der Node-Betreiber in die Verlustkette – nicht die Einlagen der Nutzer.
- •Das Release v3.21 startet auch den Solana-Handel neu, nimmt durch State Bloat pausierte Limit-Swaps wieder auf, behebt die Schwachstelle hinter dem Angriff auf Rujiras FIN-Vertrag und führt Streaming Bond Yield für Anbieter ein, während Moneroixes auf den noch nicht terminierten Release v3.21.1 warten.
- •Der native ZEC-Liquiditätspool startete Anfang Oktober als eine der neuesten Integrationen THORChains – nach der Wiedereröffnung des Netzwerks am 23. Juni infolge einer 39-tägigen Sicherheitsüberholung, die durch einen 10,7-Millionen-Dollar-Exploit im Mai 2026 ausgelöst worden war.
On-Chain-Daten haben einen Zcash-Matching-Bug aufgedeckt, der rund 140 RUNE – THORChains nativen Token – aus den Bonds von 18 Node-Betreibern tilgte. Nutzer- und Vault-Guthaben waren nicht betroffen, und der native ZEC-Handel bleibt eingefroren, bis ein Fix veröffentlicht wird.
Gebundene Kollateral absorbierte den Zcash-Vault-Slash
Der Slash ging auf ein Outbound-Matching-Problem zurück, wie das Protokoll in einem Beitrag auf X mitteilte. Es gingen keine Gelder verloren, aber der Handel bleibt pausiert, bis der Fix in v3.21 eintrifft.
THORChain-Node-Betreiber hinterlegen RUNE als Kollateral, und ihr Einsatz trägt die Belastung, wenn ein Vault ausfällt. In diesem Fall deckte die gebundene Kollateral einen Softwarefehler ab, während die Swapper unbeschadet davonkamen. Das Design bringt bei einem Vault-Softwarefehler die hinterlegte Kollateral der Betreiber – nicht die Nutzer-Einlagen – in die Verlustkette. Deshalb zeigte sich der Matching-Bug als Slash auf Operatorite und nicht als Fehlbetrag in den Salden der Swapper.
THORChains aktives Set wuchs im September von 87 auf 103 Nodes, wie aus dem State-of-the-Network-Bericht hervorgeht, über den Cryptopolitan berichtete. Die Bond-Anbieter dieser Nodes erhalten in v3.21 Streaming Yield und können damit einen Teil ihrer Bond-Erträge direkt in ihre Wallets senden. Die Funktion ist standardmäßig deaktiviert und wird aktiviert, sobald Mimir sie einschaltet.
Zcash-Handel wartet auf das Upgrade am 23. Oktober
Die Behebung wird Teil des THORChain-Releases v3.21.0 sein, wie aus dem GitLab-Beitrag des Protokolls hervorgeht. Das Changelog besagt, dass das gesamte Outbound-Matching denselben gemeinsamen Destination-Comparator verwendet. Das bedeutet, dass eine Zcash-TEX-Adresse und ihre zugehörige transparente Adresse als dasselbe Ziel behandelt werden. ZEC-Outbounds an TEX-Adressen werden nun als transparente Transaktionen in die Warteschlange gestellt.
Sobald Zcashs NU6.3-Netzwerk-Upgrade live ist, stellen auch alle transparenten ZEC-Outbounds auf v6-Signierung um – eine fleet-weite Änderung, die über eine HALTSIGNINGZEC-Steuerung kontrolliert wird.
Das Upgrade soll bei Block 28,366,100 aktiviert werden, was THORChain für etwa 13:40 UTC am Freitag, den 23. Oktober, erwartet. Laut Release Notes ist die Blockhöhe verbindlich; die Zeitangabe ist ungenau. Betreiber müssen ein privates Binary mit zusätzlich aufgesetzten Sicherheitspatches ausführen, und die Release Notes weisen sie an, nicht aus dem Quellcode zu bauen. Diese Blockhöhe ist der entscheidende Marker: Mit v3.21 live kann das eingefrorene ZEC-Buch wieder anlaufen – ebenso wie der Solana-Handel und die anderen Neustarts des Releases.
Weitere pausierte Dienste starten in v3.21 neu
Das Release zielt auf mehrere pausierte Dienste ab, darunter ZEC. Der Solana-Handel wurde eingestellt, nachdem ein neuer Typ von Solana-Transaktion aufgetaucht war;3.21 erlaubt den Neustart. Das Release behebt auch die App-Layer-Schwachstelle hinter dem kürzlichen Angriff auf Rujiras FIN-Vertrag.
Aufgrund von State Bloat pausierte Limit-Swaps können ebenfalls wieder aufgenommen werden. Korrigierte SwapKit-Affiliate-Fee-Auszahlungen ermöglichen es SwapKit, THORChain mit einer Reihe von Integratoren wieder einzuschalten. Swaps ohne Memos werden dynamisch gegen Spam bepreist, wobei die Registrierung teurer wird, je mehr Memo-Slots belegt sind. Mimir kann sie wieder zulassen, sobald es sie aktiviert.
Monero fehlt in v3.21. Die übrigen Fixes stehen für v3.21.1 aus, für das es noch keinen Termin gibt.
Der ZEC-Pool gehört zu THORChains neuesten
Wie Cryptopolitan berichtete, kam das 3.20-Upgrade am 25. August 2026, wobei THORChain mitteilte, dass es Monero und Zcash – beide datenschutzorientierte Kryptowährungen – der Aktivierung näher brachte, wie das Blog des Protokolls mitteilte. Ein nativer ZEC-Liquiditätspool startete Anfang Oktober, und 3.20 führte auch die Unterstützung für Solana, Base und BNB wieder ein. Der Fix trifft somit eine der neuesten Integrationen des Netzwerks.
THORChain hatte am 23. Juni nach einer Sicherheitsüberholung wiedereröffnet, die 11 Phasen und 39 Tage dauerte und auf einem Exploit im Wert von 10,7 Millionen US-Dollar im Mai 2026 folgte.
