Zcash a approuvé le lancement de la mise à niveau le 28/7 en soirée : l’ancien pool de confidentialité Orchard, contenant des vulnérabilités, commencera à être transféré

Le développeur principal de Zcash, Sean Bowe, a validé le lancement de la mise à niveau du réseau principal Ironwood au bloc 3 428 143. Elle devrait être activée le 28 juillet au soir, heure de Taiwan, à 20 h, soit une semaine de retard par rapport au 21 juillet. Electric Coin Company, la Zcash Foundation, Shielded Labs et d’autres organisations clés se sont toutes engagées à procéder à la mise à niveau en synchronisation.
（rappel : dernière avancée de la mise à niveau Ironwood de Zcash : plusieurs organisations ont atteint un consensus, avec la validation formelle et l’audit qui progressent en parallèle）
（contexte : rebond de ZEC de 45 % ! L’équipe de développement de Zcash a fixé le déploiement d’Ironwood en juillet, et un nouveau pool de confidentialité remplace le pool vulnérable Orchard）

Résumé des points clés

• Zcash a validé la mise à niveau au bloc 3 428 143, activée le 28/7
• Des ingénieurs, grâce au modèle d’IA d’Anthropic, ont débusqué une faille de “mint” cachée depuis près de 4 ans
• Après la divulgation de la faille le 5 juin, ZEC a chuté de 38 % en 24 heures

Le bloc a été définitivement tranché. Sean Bowe, développeur principal de Zcash, a annoncé dans un post sur X que la hauteur de bloc de lancement de la mise à niveau Ironwood (version de protocole NU6.3) a été fixée à 3 428 143. L’activation est prévue le 28 juillet de cette année à 20 h (heure de Taiwan), soit une semaine de retard par rapport au 21 juillet initialement prévu. Electric Coin Company, la Zcash Foundation, Shielded Labs et d’autres organisations majeures ont toutes promis de réaliser la mise à niveau en même temps.

La faille de “mint” cachée depuis près de 4 ans

Orchard est le pool de fonds de transactions privées de Zcash activé en mai 2022. En clair, c’est un pool qui dissimule, lors des transferts, les montants et les adresses : les observateurs externes ne peuvent pas les voir. Le problème vient du circuit de preuve à divulgation nulle de ce pool, où se cache une faille dans deux lignes de code : la faille était là depuis presque 4 ans, sans que personne ne la détecte.

À quel point était-ce grave ? En théorie, un attaquant pourrait forger/injecter indéfiniment des ZEC falsifiés via ce pool. Et comme le pool de confidentialité est intrinsèquement anonyme, rien ne trahit la fraude on-chain : c’est comme une faille dans un coffre, sans détecteur d’alarme.

Cette faille aussi fine n’a pas été trouvée par l’équipe d’audit, ni par un concours de “white hat”. Elle a été repérée par l’ingénieur en sécurité Taylor Hornby le 29 mai en s’appuyant sur le modèle d’IA d’Anthropic. Quatre jours plus tard, le 1er juin, le correctif a été déployé en toute hâte. Après que Shielded Labs a publié les détails le 5 juin, ZEC a reculé de 38 % en 24 heures ; le marché a d’abord fait une baisse de précaution. Toutefois, le mécanisme de turnstile de Zcash a protégé la limite maximale d’émission de jetons : l’offre totale n’a pas été “gonflée”. À l’heure actuelle, il n’existe pas de preuve que la faille ait été exploitée sur le réseau principal.

Remplacer le pool et ajouter des “portes” de vérification

Trouver la faille n’est que la première étape. La vraie question que l’Ironwood vise à résoudre est de s’assurer qu’aucun ZEC falsifié n’entre parmi les fonds “propres”. Cette mise à niveau propose deux barrières de défense.

La première barrière consiste à remplacer l’ancien pool de confidentialité par un nouveau. Le nouveau pool utilise toujours le protocole Orchard et fonctionne de la même manière, mais l’ancien pool Orchard sera progressivement mis hors service : il n’acceptera plus les nouveaux dépôts. Autrement dit, on “scelle” directement l’ancien coffre potentiellement compromis.

La deuxième barrière est plus minutieuse : le circuit de preuve à divulgation nulle ajoute des indicateurs de contrôle. En termes simples, c’est comme ajouter un interrupteur. Une fois activé, il permet d’empêcher les utilisateurs de transférer l’argent du pool de confidentialité à d’autres personnes au sein du pool, tout en conservant la fonctionnalité de rendu de monnaie (change) vers l’adresse de change du même utilisateur. Autrement dit : possible de faire du change, mais pas d’échanges internes.

En complément du mécanisme turnstile, tous les fonds devant être transférés hors de l’ancien pool Orchard doivent d’abord passer par des points de contrôle comptables, pour vérification. Ce n’est qu’après confirmation que les fonds peuvent entrer dans le nouveau pool. Ce processus de contrôle pourrait également faire remonter à la surface des traces laissées par la faille.

Pour une crypto-monnaie axée sur l’anonymat, prouver qu’aucun faux jeton n’a été introduit revient donc à augmenter les points de contrôle lors du retrait : chaque montant déplacé de l’ancien pool doit d’abord être pesé et vérifié. Ce contraste entre anonymat et auditabilité, c’est précisément ce qui rend la mise à niveau Ironwood particulièrement intrigante.

Remontons au 9 mai de cette année : ZEC a brièvement atteint 642 dollars, soit une hausse de plus de 650 % par rapport au plus bas de 2024. À un moment, il a dépassé Monero et est devenu la crypto-monnaie de confidentialité la plus importante par capitalisation. Les catalyseurs ne sont pas uniques : en janvier, la SEC a clôturé son enquête sur la Zcash Foundation ; Grayscale a aussi déposé une demande d’ETF spot sur Zcash (symbole ZCSH). Une fois les progrès d’Ironwood devenus plus clairs, récemment, cela a encore poussé le prix de ZEC d’environ 12 %.

Il reste presque trois semaines avant le 28 juillet. Avant l’activation officielle d’Ironwood et l’achèvement du transfert des fonds de l’ancien pool, l’affaire liée à cette faille ne pourra probablement pas encore être considérée comme définitivement close.

Questions fréquentes

Quand la mise à niveau Zcash Ironwood sera-t-elle lancée ?

Elle devrait être activée le 28 juillet 2026 à 20 h (heure de Taiwan), au bloc 3 428 143, soit une semaine de retard par rapport à la date du 21 juillet initialement prévue.

À quel point la faille d’Orchard de Zcash était-elle grave ?

Cachée dans le circuit de preuve à divulgation nulle depuis près de 4 ans, elle permettait en théorie de forger indéfiniment des ZEC falsifiés et de rendre la fraude difficile à détecter on-chain. À l’heure actuelle, le mécanisme turnstile protège la limite totale d’émission ; il n’existe aucune preuve qu’elle ait été exploitée.