ZachXBT signale un défaut de confidentialité dans l'intégration NEAR Intents du portefeuille Zashi

L'enquêteur blockchain ZachXBT a découvert une vulnérabilité de confidentialité dans l'intégration du portefeuille Zashi avec le protocole de transactions interchaînes NEAR Intents. Le chercheur indépendant a publié un fil sur X mardi disant qu'il a testé le système pour trouver des « défauts de conception qu'il pourrait exploiter », lors de ses enquêtes sur les acteurs frauduleux.

Zashi est un portefeuille crypto auto-custodial développé par Electric Coin Co., l'équipe derrière Zcash (ZEC), une cryptomonnaie orientée confidentialité lancée en 2016. Le portefeuille permet aux utilisateurs d'envoyer, recevoir et dépenser des ZEC tout en gardant leurs activités financières cachées des intermédiaires, des entreprises ou de la surveillance gouvernementale.

ZachXBT a écrit sur la façon dont il a testé l'intégration de Zashi avec NEAR Intents en raison de la « récente hype », se demandant si elle maintenait le même niveau d'anonymat que les utilisateurs de Zcash attendent des transactions blindées.

L'enquêteur identifie un défaut de confidentialité lors du transfert de SOL vers Zcash

Dans son expérience, ZachXBT a ponté 1 SOL de Solana vers Zcash en utilisant NEAR Intents vers le portefeuille Zashi. Il a ensuite blindé les fonds pour la confidentialité après avoir confirmé les transactions de source et de destination. 

L'enquêteur en sécurité blockchain a ensuite utilisé la fonctionnalité « CrossPay » de Zashi, qui permet aux utilisateurs de dépenser des ZEC blindés et d'envoyer une valeur équivalente dans une autre crypto, pour financer une adresse Ethereum avec 0,005 ETH.

3/ Disons maintenant que je veux financer anonymement une adresse ETH depuis mon portefeuille Zashi avec mes ZEC blindés, donc j'utilise la fonctionnalité « Crosspay » via Near Intents pour recevoir 0,005 ETH à l'adresse suivante :

0x6dda3649f19191a9df465f4010019f2f59c34bc4 pic.twitter.com/5cMDG83MN9

— ZachXBT (@zachxbt) 21 octobre 2025

Bien que le transfert principal ait été complété après plusieurs minutes, ZachXBT a découvert une transaction de remboursement inattendue de 0,001598 ZEC envoyée à la même adresse transparente à partir de laquelle il avait initialement blindé les fonds. 

Selon l'enquêteur bien connu en sécurité crypto, le remboursement automatique a créé un lien visible entre ses adresses blindées et non blindées, sapant la confidentialité que le système blindé de Zcash est censé protéger.

La transaction de remboursement était publiquement traçable sur la blockchain Zcash et aurait pu permettre à quiconque de faire correspondre les horaires et les montants entre le système NEAR Intents et le remboursement lui-même. 

« Quelqu'un peut simplement faire correspondre les horaires/montants de l'adresse Near Intents et identifier les txns de remboursement ZEC, permettant à quelqu'un de déanonymiser votre adresse t à partir de laquelle vous avez initialement blindé des ZEC puisqu'elle est statique et que les remboursements ne sont pas blindés », a conclu ZachXBT.

Le portefeuille Zashi promet des mises à jour pour résoudre le problème de traçabilité

Le chercheur en sécurité Web3 a révélé que le défaut provenait de la façon dont NEAR Intents gère les remboursements pour les transactions interchaînes. Dans son exemple, l'adresse Zcash Near Intents utilisée était publiquement visible, ce qui signifie que les transactions de remboursement étaient traitées de manière transparente plutôt que dans le pool blindé de Zcash. 

Puisque l'intégration de Zashi réutilise la même adresse transparente pour les remboursements, le lien devient évident pour les analystes on-chain.

Après avoir identifié le défaut, ZachXBT a déclaré qu'il avait contacté l'équipe de développement de Zashi, qui a reconnu le problème et a confirmé des plans pour introduire des adresses éphémères. 

Ces adresses de portefeuille temporaires disparaîtront après chaque transaction pour réduire la traçabilité, si la mise à jour est mise en œuvre comme prévu. Ils lui ont également dit que les remboursements blindés seraient inclus dans NEAR Intents dans une mise à jour future.

Malgré le défaut, ZachXBT a qualifié Zashi d'« expérience de portefeuille agréable pour la confidentialité », notant qu'il corrige plusieurs problèmes d'interface utilisateur et d'expérience qu'il avait rencontrés avec Monero, une autre monnaie de confidentialité.

« J'envisage de proposer un service pour les traders individuels ou les fonds boutique cherchant à anonymiser leurs activités », a-t-il dit, ajoutant que les parties intéressées pourraient le contacter directement pour une collaboration.

Lorsqu'un follower lui a dit que son idée est similaire à la façon dont les consultants en cybersécurité sont embauchés pour pirater des systèmes sécurisés afin d'identifier les faiblesses, ZachXBT a été d'accord. 

Le volume historique du protocole NEAR Intents atteint 2 milliard de dollars

NEAR Intents connaît une augmentation de l'activité des utilisateurs et du volume des transactions qui a désormais dépassé 2 milliards de dollars, selon les données de Dune Analytics.

Le volume blockchain quotidien par mois sur le système basé sur les intentions a augmenté de 379 %, avec des comptes d'utilisateurs dépassant 457 000 depuis le 21 septembre. 

NEAR Intents est un protocole de transactions multichaînes qui automatise les actions interchaînes grâce à un mécanisme basé sur les intentions. Au lieu de passer manuellement par des ponts ou des échanges de tokens, les utilisateurs ou les agents IA agissant en leur nom diffusent le résultat souhaité, tel que l'échange d'un token contre un autre.

Au cours des dernières 24 heures, les utilisateurs ont réalisé des transactions de tokens d'une valeur de 65 millions de dollars, dont 10 % provenaient de ZEC. Le portefeuille prend actuellement en charge deux fonctionnalités en direct, Zashi Swaps et CrossPay, qui ont été lancées plus tôt ce mois-ci.