Zooko Wilcox-O'Hearn, fondatrice de Zcash (ZEC)une crypto-monnaie axée sur la confidentialité, publiée ce jeudi (4) a vulnérabilité qui permettait la création illimitée de pièces chez Orchard, responsable des transactions protégées du réseau.
La faille a été découverte par Taylor Hornby, un chercheur qui travaille pour Shielded Labs, une organisation de sécurité indépendante.
En conséquence, le prix de Zcash est passé de 515 $ US au moment de la révélation à un plancher de 250 $ US, perdant plus de 50% de sa valeur en 10 heures environ. Au moment de la rédaction de cet article, ZEC se négocie autour de 315 $.
Le fondateur de Zcash déclare qu'il n'est pas possible de savoir si la vulnérabilité a été exploitée et combien de pièces ont été frappées
Tout comme Bitcoin, Zcash devrait disposer d’une offre maximale de 21 millions de pièces. Cependant, la vulnérabilité permettrait la création illimitée de ZEC, dépassant potentiellement cette valeur.
« La vulnérabilité aurait pu être exploitée pour créer de manière indétectable une quantité illimitée de ZEC contrefaits au sein d'Orchard. En raison des propriétés de confidentialité d'Orchard, il n'existe aucun moyen de prouver cryptographiquement si la vulnérabilité a été exploitée avant qu'elle ne soit corrigée. Cependant, une mise à niveau du réseau pourrait être mise en œuvre pour protéger les utilisateurs et prouver l'intégrité de l'offre Zcash. «
Selon le texte, la faille a été découverte le 29 mai 2026 et corrigée le 2 juin 2026, étant présente pendant quatre ans, depuis mai 2022.
Le chercheur Taylor Hornby aurait utilisé le modèle Opus 4.8 d'Anthropic, peu après son lancement, dans ses travaux.
« La vulnérabilité était réelle et exploitable. Taylor, avec l'aide de l'Opus 4.8, a écrit un exploit complet qui, lorsqu'il a été testé dans un environnement de test local, a généré une quantité illimitée et indétectable de ZEC contrefaits. S'il avait exécuté le même outil sur le réseau principal Zcash, il aurait généré une quantité illimitée et indétectable de ZEC contrefaits dans son portefeuille Zcash du réseau principal. «
« Ce qui rend cela particulièrement difficile, c'est qu'en raison des propriétés de confidentialité d'Orchard et de la nature du bug, il n'existe aucun moyen définitif de déterminer, avec la seule cryptographie, si l'exploitation a eu lieu avant que la vulnérabilité ne soit découverte et corrigée. Nous pensons qu'il est important d'être transparents sur cette incertitude », a poursuivi Zooko.
Poursuivant son texte, le fondateur de Zcash affirme qu'il est peu probable que la faille ait été exploitée. Il souligne que la vulnérabilité est passée inaperçue aux yeux de bon nombre des meilleurs cryptographes du monde pendant quatre ans et n'a été découverte que par Taylor, qui « est l'une des personnes les plus qualifiées au monde pour cela » et a bénéficié de l'aide d'un puissant outil d'IA.
« Une fois la vulnérabilité découverte, la fenêtre d'opportunité d'attaque a été sévèrement limitée par la rapidité avec laquelle ZODL et l'écosystème Zcash ont exécuté le correctif. »
« Pris ensemble, ces facteurs suggèrent que peu de personnes avaient la capacité et l'opportunité de découvrir et d'exploiter cette vulnérabilité avant qu'elle ne soit corrigée », commente Zooko.
Quoi qu'il en soit, le prix de Zcash (ZEC) a connu une forte baisse entre 18h47 ce jeudi (4) et 4h ce vendredi (5), perdant 50% de sa valeur.
Au moment de la rédaction de cet article, ZEC a déjà annulé une partie de ses pertes, s'échangeant autour de 315 $ US.
En conclusion de son texte, Zooko déclare étudier une proposition de mise à jour qui permettrait à quiconque de vérifier l'offre de ZEC pour prouver la non-existence de fausses pièces.
« Nous prévoyons de publier la semaine prochaine un nouveau texte expliquant la proposition plus en détail, y compris son fonctionnement et les compromis impliqués. Comme toute mise à niveau majeure du réseau, elle nécessiterait le soutien des utilisateurs de Zcash et devrait passer par le processus de gouvernance standard avant de pouvoir être activée. »Zooko a expliqué.