Le ZEC chute de 30 % après la divulgation de nouveaux détails sur la vulnérabilité de contrefaçon de Zcash

Le cours du ZEC a chuté jeudi après la publication de nouveaux détails sur une vulnérabilité critique de contrefaçon dans le pool Orchard de Zcash, qui aurait théoriquement permis à un acteur malveillant de frapper une quantité illimitée de ZEC.

Selon un post sur X, l'ingénieur en sécurité Taylor Hornby, mandaté par Shielded Labs, a découvert le bug le 29 mai et l'a signalé au Zcash Open Development Lab (ZODL), qui a déployé une réponse d'urgence pour corriger la vulnérabilité via un hard fork activé le 3 juin.

Cependant, de nouvelles inquiétudes sont apparues quant à l'étendue de l'exploitation de cette vulnérabilité, qui existait depuis mai 2022, ce qui a entraîné une chute de Zcash de plus de 30 % en 24 heures, à 410 $ au moment de la publication. Sa capitalisation boursière a fondu de plus de 3 milliards de dollars.

Toutefois, le cofondateur de BitMEX Arthur Hayes a déclaré vendredi qu'il est peu probable que du ZEC ait été frappé illégalement de cette manière, tout en reconnaissant qu'« il est impossible de le prouver formellement d'un point de vue cryptographique ».

« Malheureusement, à cause de l'exploit du pool Orchard, j'ai dû liquider la totalité de notre position en ZEC », a-t-il déclaré.

« La Sainte Trinité est morte », a-t-il ajouté, en référence à Zcash et aux deux autres tokens qu'il a vendus cette semaine, Hyperliquid (HYPE) et Near Protocol (NEAR).

Le ZEC s'effondre de 30 % en 24 heures après deux mois de solides gains. Source : TradingView

Claude contribue à la découverte du bug

Taylor a utilisé Claude Opus 4.8, sorti le 28 mai, soit la veille de la découverte, pour assister une revue hautement ciblée du circuit Orchard, le composant cryptographique sous-jacent au pool blindé Orchard de Zcash.

Le bug critique permettait d'injecter de faux paramètres dans une vérification de multiplication sur courbe elliptique, ce qui signifie que les calculs mathématiques censés vérifier cryptographiquement les transactions pouvaient être trompés.

Taylor a construit et testé un exploit fonctionnel, qui a généré une quantité illimitée de ZEC contrefait.

« S'il avait exécuté le même outil sur le réseau principal de Zcash, il aurait généré une quantité illimitée de ZEC contrefait indétectable dans son portefeuille Zcash sur le mainnet », ont déclaré les chercheurs en sécurité vendredi.

La principale préoccupation est qu'il n'existe aucun moyen cryptographique de prouver si quelqu'un a exploité la faille avant sa correction, en raison des propriétés de confidentialité d'Orchard.

Cependant, Shielded Labs ne se dit « pas excessivement préoccupé » car le bug était suffisamment subtil pour échapper à des années de revue par des experts, et sa découverte a été le fruit d'un effort délibéré, hautement qualifié, utilisant des outils de pointe et l'IA.

À lire aussi : Les pertes liées aux exploits crypto en mai chutent de 90 % sur le mois à 68 M$ : CertiK

L'entreprise travaille avec les développeurs de Zcash à une mise à niveau du réseau qui permettrait à quiconque de vérifier l'intégrité de l'offre de ZEC et de prouver l'absence de tokens contrefaits dans le pool Orchard, ont-ils précisé.

Ce n'est pas la première vulnérabilité de contrefaçon pour Zcash

Mert Mumtaz, cofondateur et PDG de Helius, société d'outils pour Solana, a déclaré que presque tous les protocoles de confidentialité présentent une variante de cette même vulnérabilité.

« Ce même FUD revient tous les cinq mois, à mesure que de nouvelles personnes découvrent le fonctionnement des pools de confidentialité », a-t-il déclaré.

Il a expliqué qu'il s'agit d'un risque théorique dans la plupart des protocoles de confidentialité à preuve à divulgation nulle de connaissance (zero-knowledge), lié à des bugs de circuits difficiles à exploiter ou à détecter.

Ce n'est pas la première fois qu'une vulnérabilité similaire est découverte dans Zcash. En 2018, une vulnérabilité de contrefaçon dans la cryptographie sous-jacente aux preuves zk avait été découverte par l'Electric Coin Company, qui l'avait corrigée sans pertes en 2019.

Magazine : Les grandes questions : a-t-on vraiment besoin de seulement 2 à 5 cryptomonnaies ?