Réponse des cofondateurs de ZEC à la faille Orchard : aucune trace de vol pour le moment, le pool Orchard sera mis sous séquestre

Foresight NewsPublié le 2026-06-15Dernière mise à jour le 2026-06-15

Résumé

Les cofondateurs de Zcash répondent à la vulnérabilité découverte dans le module Orchard. Bien que l'exploitation de cette faille semble peu probable (en raison de sa haute complexité technique, de la réponse rapide des équipes et de l'absence de trace de vol), elle soulève plusieurs questions cruciales pour les utilisateurs. Premièrement, les actifs légitimes détenus dans Orchard devraient pouvoir être récupérés, à condition que la faille n'ait jamais été exploitée. Dans le cas contraire, une sortie anticipée de jetons frauduleux pourrait affecter les retraits. Deuxièmement, à cause de cette vulnérabilité, les utilisateurs ne peuvent actuellement pas vérifier de manière autonome que la masse monétaire totale de ZEC n'a pas été artificiellement augmentée. Cette capacité de vérification, essentielle à la confiance, sera rétablie grâce à la future mise à niveau Ironwood. Celle-ci gèlera définitivement le pool Orchard, n'autorisant que la sortie des actifs initialement déposés, garantissant ainsi qu'aucune création illicite de jetons ne pourra persister. Enfin, des audits approfondis menés par plusieurs équipes, assistés par des outils d'IA avancés, n'ont pour l'instant détecté aucune autre vulnérabilité de contrefaçon similaire dans le protocole. En résumé, bien que la situation semble contenue et que des mesures correctives sont en cours, la mise à niveau à venir est essentielle pour restaurer la pleine capacité des utilisateurs à auditer la supply de ZEC de manière indépe...


Rédigé par: Zooko Wilcox, Jason McGee

Traduit par: Luffy, Foresight News


Suite à la récente révélation d'une vulnérabilité de sécurité dans le module Orchard de Zcash, deux questions majeures préoccupent la communauté : le nombre total de tokens Zcash est-il anormal ? Les actifs des utilisateurs sont-ils sûrs ?


Les débats actuels mêlent plusieurs sujets distincts, rendant difficile pour beaucoup de comprendre l'impact réel de cette vulnérabilité sur les utilisateurs ordinaires. Cet article aborde ces questions et explique leurs implications une par une.


Cette faille dans Orchard soulève quatre interrogations clés :


  1. La vulnérabilité a-t-elle été exploitée par des pirates ?
  2. Les actifs légitimes déposés dans Orchard peuvent-ils être récupérés ?
  3. Les utilisateurs peuvent-ils vérifier par eux-mêmes que le nombre total de tokens Zcash n'a pas été augmenté artificiellement ?
  4. Comment s'assurer que le projet ne contient pas d'autres vulnérabilités de fabrication similaires ?


La vulnérabilité a-t-elle été exploitée ?


Pour l'instant, il n'y a pas de conclusion définitive. Dans l'ensemble, la probabilité que la vulnérabilité ait été exploitée à des fins malveillantes semble faible, mais nous ne pouvons pas l'exclure à 100 %, pour trois raisons principales :


  • Pendant des années, de nombreux experts mondiaux en cryptographie et chercheurs en sécurité ont examiné le code de Zcash, et cette vulnérabilité est toujours restée indétectée. Elle a été découverte de manière proactive par Taylor Hornby de Shielded Labs, qui l'a recherchée spécifiquement, et non par accident. Il a utilisé des technologies d'IA pour la détection de sécurité et ses propres outils, spécialement conçus pour trouver ce type de défaut caché. L'exploitation de cette vulnérabilité présente un seuil élevé de difficulté, inaccessible aux non-spécialistes du codebase de Zcash.
  • Dès la divulgation de la faille, l'équipe de développement de Zcash a immédiatement collaboré avec les principaux pools miniers pour geler temporairement le pool de fonds Orchard et déployer un correctif, réduisant considérablement la fenêtre d'attaque possible pour les pirates.
  • La plupart des attaques dans le domaine des cryptomonnaies visent un profit rapide. Une fois une vulnérabilité rendue publique, les pirates cherchent généralement à monétiser immédiatement. Pour profiter de cette faille, un pirate devrait transférer les ZEC contrefaits hors du pool de fonds Orchard et les convertir en d'autres actifs, opérations qui laissent généralement des traces. Si la vulnérabilité avait déjà été exploitée, des preuves auraient dû émerger. Tout au long de l'histoire de l'industrie, les opérations des pirates suivent généralement un modèle de « frappe et fuite rapide », sans tentative de se cacher pendant des mois, voire des années.


Les actifs légitimes dans Orchard peuvent-ils encore être récupérés ?


Nous pensons que oui, à condition que la vulnérabilité n'ait jamais été exploitée. Si cette hypothèse est correcte, tous les actifs légitimes des utilisateurs stockés dans Orchard pourront être transférés sans problème.



Inversement, si un pirate avait déjà exploité la faille pour créer des tokens frauduleux et les avait injectés dans le pool de fonds, les canaux de transfert existants limiteraient le montant total pouvant être retiré. La limite maximale de sortie serait égale au montant initial de tokens légitimement déposés. Dans ce scénario, si les tokens frauduleux étaient retirés en premier, certains utilisateurs pourraient ne pas pouvoir récupérer l'intégralité de leurs actifs légitimes.



Nous estimons que ce scénario extrême a une faible probabilité de se produire. Si des inquiétudes persistent, il est possible de transférer ses actifs hors du pool Orchard. Cependant, avant de le faire, il est important de comprendre les risques potentiels liés aux différentes méthodes de retrait :


  • Transfert vers une adresse publique (adresse t) : Le montant et l'heure de la transaction seront entièrement publics, et les actifs seront publiquement associés à cette adresse, entraînant une perte totale de la vie privée.
  • Transfert vers le pool de confidentialité Sapling : Le montant et l'heure de la transaction seront toujours enregistrés, mais les actifs ne seront pas liés à une adresse spécifique ou à l'historique des transactions, offrant une meilleure confidentialité qu'une adresse publique. Il est important de noter que Sapling repose sur une cérémonie d'initialisation de confiance réalisée en 2018, ce qui constitue en soi un risque supplémentaire.
  • Portefeuilles : Parmi les principaux portefeuilles autodétenus, seuls YWallet et Zkool prennent en charge le pool Sapling.
  • Autres portefeuilles ou plateformes de custodie : Des erreurs de manipulation, des dysfonctionnements logiciels, des contrôles de risque de la plateforme et d'autres problèmes imprévus peuvent également survenir.


Dans l'ensemble, ces risques sont gérables. Compte tenu de l'hypothèse selon laquelle la vulnérabilité n'a probablement pas été exploitée, laisser ses actifs dans le portefeuille de confidentialité d'origine est un choix prudent. Si vous pouvez garantir la sécurité de l'opération, transférer vos actifs est également une option. Chacun peut décider en fonction de sa situation.


Les utilisateurs peuvent-ils vérifier par eux-mêmes que le nombre total de Zcash n'a pas été augmenté ?


Pour le moment, ce n'est pas possible. En raison de l'existence de cette vulnérabilité, les utilisateurs ordinaires ne peuvent pas vérifier de manière indépendante si le nombre total de tokens dans les pools de confidentialité actuels a été artificiellement gonflé.



Cependant, la mise à niveau réseau Ironwood prévue par le projet résoudra ce problème. La logique est la suivante :



Cette mise à niveau fermera définitivement le pool Orchard, empêchant tout nouveau dépôt d'actifs. Les tokens dans le pool ne pourront plus y circuler en interne, et tous les actifs devront être retirés via les canaux existants. Or, le montant total pouvant être retiré via ces canaux est strictement égal au nombre de tokens légitimement déposés à l'origine, empêchant ainsi à la racine tout retrait excédentaire de tokens.


Une fois la mise à niveau terminée, toute personne exécutant un nœud pourra vérifier que le nombre total de tokens est conforme. Même s'il y avait eu des tokens frauduleux auparavant, ils ne pourraient plus circuler dans le pool Orchard, ni augmenter artificiellement le nombre total de tokens en circulation. Les utilisateurs n'auront pas à spéculer sur les actions potentielles d'un pirate ou d'autres utilisateurs ; le protocole lui-même garantira l'absence de création excessive de tokens.


Ce point est crucial. La crédibilité à long terme de Zcash repose sur la capacité des utilisateurs à vérifier de manière autonome le nombre total de tokens. La mise à niveau Ironwood restaurera cette capacité pour les utilisateurs.


Comment s'assurer que le projet ne contient pas d'autres vulnérabilités de fabrication de tokens ?


À ce stade, nous ne pouvons pas donner une réponse absolue, mais nous avons des raisons de croire qu'il n'existe pas d'autres vulnérabilités de ce type.


Shielded Labs, en collaboration avec plusieurs équipes, a mené un audit complet du protocole Zcash, en se concentrant spécifiquement sur la recherche de vulnérabilités liées à la fabrication de tokens. Lors de cet audit, l'équipe a également utilisé le modèle d'intelligence artificielle Mythos d'Anthropic, qui n'est pas encore officiellement publié, pour aider à la détection. Nous publierons ultérieurement un article détaillant le processus et les résultats de cet audit.


Jusqu'à présent, l'équipe n'a découvert aucune nouvelle vulnérabilité de fabrication. Cet audit a réuni des techniciens expérimentés, des équipes de sécurité spécialisées et des outils d'analyse IA avancés, ce qui nous rend encore plus confiants qu'il n'existe actuellement aucune autre vulnérabilité critique non divulguée de ce type.


Parallèlement, nous collaborons avec des partenaires tels que le projet Tachyon pour mener des tests supplémentaires, renforçant ainsi les défenses de sécurité. Les progrès dans ce domaine seront également communiqués ultérieurement.


Conclusion


Cette faille dans Orchard soulève quatre questions fondamentales : la vulnérabilité a-t-elle été exploitée, les actifs légitimes peuvent-ils être récupérés, le nombre total de tokens peut-il être vérifié, et existe-t-il d'autres vulnérabilités de fabrication.


Sur la base des résultats actuels de l'audit, nous estimons qu'il est peu probable que la vulnérabilité ait été exploitée auparavant. Par conséquent, les actifs des utilisateurs sont sûrs et le nombre total de tokens est actuellement normal. Après des inspections répétées par plusieurs équipes indépendantes, nous sommes également de plus en plus convaincus qu'il n'existe actuellement pas d'autres vulnérabilités de fabrication non divulguées dans le projet.


Cependant, un point reste incontournable : les utilisateurs ne peuvent pas encore vérifier de manière autonome le nombre total de tokens. La prochaine mise à niveau réseau résoudra définitivement ce problème. Après la mise à niveau, le pool Orchard sera définitivement fermé, permettant aux utilisateurs de vérifier de manière indépendante le nombre total de tokens, sans avoir à se demander si une fabrication de tokens a pu se produire.

Questions liées

QL'article mentionne que la vulnérabilité Orchard dans Zcash a soulevé plusieurs préoccupations. Quelle est l'une des questions clés abordées concernant la sécurité des actifs des utilisateurs ?

AUne des questions clés est de savoir si les actifs légitimes déposés dans le bassin Orchard peuvent être retirés normalement. Les auteurs estiment que oui, à condition que la vulnérabilité n'ait jamais été exploitée.

QSelon les auteurs, quelles sont les principales raisons qui rendent l'exploitation malveillante antérieure de la vulnérabilité Orchard improbable ?

ATrois raisons principales sont avancées : 1) La vulnérabilité était très difficile à trouver et a été découverte proactivement par un expert. 2) L'équipe de développement a réagi rapidement pour geler le bassin et corriger le problème, réduisant la fenêtre d'attaque. 3) Aucune trace d'exploitation pour un gain rapide (comme la conversion de ZEC falsifiés) n'a été observée, ce qui est typique des attaques dans la cryptographie.

QQue se passerait-il pour les retraits si des jetons falsifiés avaient déjà été introduits dans le bassin Orchard par un pirate ?

ASi des jetons falsifiés avaient été introduits, le mécanisme de retrait limiterait le montant total pouvant être retiré au montant initial légitimement déposé. Dans ce scénario, si les jetons falsifiés étaient retirés en premier, certains utilisateurs pourraient ne pas pouvoir récupérer la totalité de leurs actifs légitimes.

QComment le projet Zcash prévoit-il de restaurer la capacité des utilisateurs à vérifier de manière indépendante l'offre totale de jetons (le total supply) ?

ALa future mise à niveau du réseau, appelée Ironwood, résoudra ce problème. Elle fermera définitivement le bassin Orchard aux nouveaux dépôts et aux transferts internes. Tous les actifs ne pourront être retirés que via les canaux existants, dont le plafond de retrait est strictement égal au montant des dépôts légitimes initiaux. Ainsi, toute exécution d'un nœud permettra de vérifier que l'offre totale est conforme.

QQuelles mesures ont été prises pour s'assurer qu'aucune autre vulnérabilité de falsification de jetons similaire n'existe dans le protocole Zcash ?

AShielded Labs, en collaboration avec d'autres équipes, a mené un examen complet du protocole Zcash spécifiquement pour rechercher ce type de vulnérabilités. Ils ont utilisé des outils avancés, y compris un modèle d'IA (Mythos d'Anthropic) et des vérifications manuelles par des experts. Aucune nouvelle vulnérabilité de ce type n'a été trouvée. Des vérifications supplémentaires sont également en cours avec des partenaires comme le projet Tachyon.

Lectures associées

Une « crise des subprimes » de l’IA ? Sous la vague spéculative, 1 800 milliards de dollars de dettes cachées s’accumulent dans l’ombre

Au milieu de la frénésie d'investissement dans les infrastructures d'IA, une dette massive, largement invisible, s'accumule. Selon Morgan Stanley, les géants du cloud engagent environ 1800 milliards de dollars d'engagements hors bilan : près de 1000 milliards en commandes d'achat, plus de 800 milliards en baux non amorcés et des centaines de milliards via le financement de la chaîne d'approvisionnement. Leur levier a bondi de 0,9x à 1,8x en deux trimestres, et leurs dépenses en capital dépassent la croissance des revenus. Parallèlement, des structures de financement complexes via des véhicules ad hoc (SPV) déplacent le risque vers les fournisseurs et le crédit privé, créant un écosystème interdépendant et opaque. La pression de la dépréciation, actuellement masquée par les actifs en construction, menace de réduire fortement la rentabilité à l'avenir. Le risque immédiat n'est pas la solvabilité, mais un décalage temporel : les investissements massifs précèdent la monétisation. Si la demande des entreprises se tourne vers des solutions d'IA moins chères, ce château de cartes financier pourrait être sévèrement mis à l'épreuve.

marsbitIl y a 4 mins

Une « crise des subprimes » de l’IA ? Sous la vague spéculative, 1 800 milliards de dollars de dettes cachées s’accumulent dans l’ombre

marsbitIl y a 4 mins

Paul Graham : Comment gagner un milliard de dollars

Paul Graham explique dans cet essai comment devenir milliardaire en fondant une startup prospère. Il affirme que la richesse extrême n'est pas nécessairement le résultat d'une tricherie, mais peut découler naturellement de la croissance exponentielle d'une entreprise. Le succès repose sur deux facteurs clés : le taux de croissance mensuel et la durée de cette croissance. Par exemple, une croissance de 15 % par mois peut multiplier les revenus par plus de 4000 en cinq ans, conduisant à une valorisation massive si le marché est suffisamment vaste. Pour obtenir cette croissance, il faut créer un produit que les utilisateurs aiment au point de le recommander spontanément (effet viral). Graham conseille aux jeunes fondateurs de développer des solutions pour eux-mêmes et leurs amis, car ils anticipent les besoins futurs. Les meilleures idées émergent souvent de projets passionnants, non d'une recherche consciente d'opportunités commerciales. En résumé, la voie légitime vers une fortune de plusieurs milliards passe par l'empathie envers les utilisateurs et la création de valeur, générant une croissance exponentielle dans un grand marché, sans besoin d'exploiter qui que ce soit.

链捕手Il y a 17 mins

Paul Graham : Comment gagner un milliard de dollars

链捕手Il y a 17 mins

SemiAnalysis décortique le Kirin 9030 de Huawei : La finesse de gravure stagne, on plie la puce

SemiAnalysis, via son laboratoire STEEL, a publié sa première analyse de démontage publique, ciblant le Kirin 9030 Pro de Huawei (fabriqué par SMIC en procédé N+3). Le rapport révèle que le pas métallique minimum (M0 pitch) du N+3 est de 32,5 nm, plus fin que celui de l'Intel 18A. Cependant, ceci est un indicateur isolé et la densité logique globale (113,4 MTr/mm²) est similaire au N6 de TSMC, mais obtenue à un coût bien supérieur en raison de l'utilisation d'une quadruple modélisation (SAQP) avec des DUV uniquement, sans EUV. Le Kirin 9030, de taille similaire à son prédécesseur, intègre plus de cœurs CPU/GPU/NPU et de cache grâce à la densité améliorée. Ses performances GPU rattrapent environ les flagships de 2022, mais le CPU, basé sur une architecture de type Cortex-X2 (2021), accuse un retard en IPC et en fréquence dû aux limitations du procédé de fabrication. Face à ces contraintes, Huawei mise sur une nouvelle voie : l'échelle Tau et le "LogicFolding" (pliage logique). Cette approche consiste à empiler verticalement des blocs logiques pour raccourcir les interconnexions, visant à atteindre 5 GHz et une densité équivalente élevée d'ici 2031. Bien que le calcul de densité pour la 3D diffère des méthodes traditionnelles, cette direction est stratégique. En conclusion, les contrôles à l'exportation n'ont pas arrêté les progrès sino-sémiconducteurs, mais en ont changé la trajectoire et le coût. SMIC prouve qu'une densité avancée est possible sans EUV, mais à un prix élevé. Pendant ce temps, Huawei innove en conception 3D et diversifie ses chaînes d'approvisionnement (mémoire CXMT), cherchant à rendre les puces nationales "suffisantes" pour des applications clés.

marsbitIl y a 50 mins

SemiAnalysis décortique le Kirin 9030 de Huawei : La finesse de gravure stagne, on plie la puce

marsbitIl y a 50 mins

Comment le cours de SpaceX va-t-il évoluer avant le prochain déblocage pour les actionnaires ?

SpaceX, sous le symbole SPCX, a fait son entrée sur les marchés publics. Le premier jour, l'action a clôturé en hausse d'environ 19%, portant sa capitalisation à environ 2 100 milliards de dollars. Un point clé de sa dynamique actuelle est la faible liquidité initiale, les nouvelles actions émises ne représentant qu'environ 4% du total, créant une pression à la hausse due à la rareté et à l'engouement pour le récit porté par Elon Musk (Starlink, transport spatial, etc.). Cependant, le marché anticipe déjà le prochain événement important : le déblocage initial des actions détenues par les actionnaires existants et les employés. Selon le prospectus, ce processus pourrait débuter vers août 2026 (sous réserve de la publication des résultats du Q2) et se déroulera par étapes. Les positions vendeuses à bas coût pourraient alors augmenter l'offre, testant la capacité du marché à absorber ces titres à des valorisations élevées. Le prochain rapport trimestriel (Q2) est donc un catalyseur crucial. Des résultats solides pourraient soutenir la valorisation et la dynamique avant le déblocage, tandis que des résultats décevants pourraient amplifier les craintes liées à la future pression vendeuse. En résumé, la trajectoire de SPCX à court terme repose sur un équilibre entre la rareté des titres disponibles et la forte narration, susceptible de maintenir les prix. À moyen terme, l'attention se portera sur le calendrier de déblocage et la capacité des résultats fondamentaux à justifier sa valorisation alors que l'offre augmentera.

marsbitIl y a 1 h

Comment le cours de SpaceX va-t-il évoluer avant le prochain déblocage pour les actionnaires ?

marsbitIl y a 1 h

Validation de la structure haussière à court terme du Bitcoin, fenêtre de placement à bas prix de l'HYPE ouverte | Analyse exclusive

L'environnement de marché de cette semaine est particulièrement complexe, marqué par une forte volatilité des actifs mondiaux. L'analyse se concentre sur deux actifs : Bitcoin (BTC) et HYPE. **Bitcoin (BTC)** Le BTC, après avoir franchi le niveau de 65 000 USD, fait l'objet d'une analyse structurelle approfondie sur graphique 4 heures. Le scénario principal dépend de la confirmation ou non de cette cassure. Une reconfirmation pourrait ouvrir la voie vers la zone de résistance clé de 69 500-70 500 USD, considérée comme une opportunité pour des positions courtes à moyen terme. À l'inverse, une rechute en dessous de 65 000 USD pourrait entraîner une correction vers 60 000-62 000 USD. La stratégie opérationnelle propose deux plans (A et B) pour des positions courtes, basés soit sur un rejet à la résistance, soit sur une rupture de support, avec une gestion stricte du risque via des stops dynamiques. **HYPE** Pour HYPE, l'analyse technique sur graphique 4 heures identifie une structure de correction en quatre segments. L'attention se porte sur la zone de résistance de 62,5 à 64,57 USD. La stratégie court terme préconise une approche "d'achat sur les creux", en attendant des signaux d'achat dans les zones de support de 52-54,5 USD ou 47-49 USD, en combinaison avec des modèles quantitatifs propriétaires de l'auteur. Un exemple de transaction réussi, générant un gain d'environ 11,88%, est détaillé en utilisant ces modèles de "différence de prix" et "quantification de l'élan". **Avertissement important** L'article souligne que les marchés évoluent rapidement et que toutes les analyses et stratégies doivent être ajustées dynamiquement. Les contenus présentés sont basés sur l'analyse technique personnelle de l'auteur et ne constituent en aucun cas un conseil en investissement.

Odaily星球日报Il y a 1 h

Validation de la structure haussière à court terme du Bitcoin, fenêtre de placement à bas prix de l'HYPE ouverte | Analyse exclusive

Odaily星球日报Il y a 1 h

Trading

Spot
Futures

Articles tendance

Comment acheter ZEC

Bienvenue sur HTX.com ! Nous vous permettons d'acheter Zcash (ZEC) de manière simple et pratique. Suivez notre guide étape par étape pour commencer votre parcours crypto.Étape 1 : Création de votre compte HTXUtilisez votre adresse e-mail ou votre numéro de téléphone pour ouvrir un compte sur HTX gratuitement. L'inscription se fait en toute simplicité et débloque toutes les fonctionnalités.Créer mon compteÉtape 2 : Choix du mode de paiement (rubrique Acheter des cryptosCarte de crédit/débit : utilisez votre carte Visa ou Mastercard pour acheter instantanément Zcash (ZEC).Solde ：utilisez les fonds du solde de votre compte HTX pour trader en toute simplicité.Prestataire tiers ：pour accroître la commodité d'utilisation, nous avons ajouté des modes de paiement populaires tels que Google Pay et Apple Pay.P2P ：tradez directement avec d'autres utilisateurs sur HTX.OTC (de gré à gré) : nous offrons des services personnalisés et des taux de change compétitifs aux traders.Étape 3 : stockage de vos Zcash (ZEC)Après avoir acheté vos Zcash (ZEC), stockez-les sur votre compte HTX. Vous pouvez également les envoyer ailleurs via un transfert sur la blockchain ou les utiliser pour trader d'autres cryptos.Étape 4 : tradez des Zcash (ZEC)Tradez facilement Zcash (ZEC) sur le marché Spot de HTX. Il vous suffit d'accéder à votre compte, de sélectionner la paire de trading, d'exécuter vos trades et de les suivre en temps réel. Nous offrons une expérience conviviale aux débutants comme aux traders chevronnés.

359 vues totalesPublié le 2024.12.12Mis à jour le 2026.06.02

Comment acheter ZEC

Discussions

Bienvenue dans la Communauté HTX. Ici, vous pouvez vous tenir informé(e) des derniers développements de la plateforme et accéder à des analyses de marché professionnelles. Les opinions des utilisateurs sur le prix de ZEC (ZEC) sont présentées ci-dessous.

活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow