La Fondation Zcash corrige des bugs critiques pour le consensus après un mois de piratage record de 651 millions de dollars
- La Fondation Zcash a publié Zebra 4.4.0 pour corriger cinq vulnérabilités, dont trois « bugs critiques pour le consensus » qui auraient pu provoquer une scission du réseau.
- La faille la plus grave permettait à un pirate distant d'utiliser une seule connexion pour empêcher définitivement un nœud de trouver de nouveaux blocs.
- Avril 2026 a enregistré environ 651 millions de dollars de pertes totales dans l'industrie, réparties sur 28 à 30 attaques distinctes.
Aujourd’hui, le 2 mai 2026, la Fondation Zcash vient de publier Zebra 4.4.0, exhortant tous les opérateurs de nœuds à effectuer une mise à jour immédiate après la correction de plusieurs failles de sécurité, dont plusieurs auraient pu diviser le consensus du réseau.
Ce correctif intervient alors qu’avril s’achève en tant que le pire mois pour les exploits cryptographiques jusqu’à présent. Le cabinet de sécurité blockchain CertiK a confirmé des pertes totales d’environ 651 millions de dollars dans l’ensemble de l’industrie.
Quels types de failles Zcash Zebra 4.4.0 corrige-t-il ?
La mise à jour résout cinq vulnérabilités distinctes dans Zebra, l’implémentation de nœud Zcash basée sur Rust développée par la Fondation Zcash. Trois de ces bugs sont critiques pour le consensus, ce qui signifie que des attaquants auraient pu les exploiter et amener les nœuds Zebra à accepter des transactions que les clients zcashd traditionnels auraient rejetés, divisant ainsi le réseau.
Le problème le plus grave (GHSA-28xj-328h-72vm) permettait à un pirate informatique distant d’empêcher définitivement un nœud de découvrir de nouveaux blocs avec une seule connexion. L’attaque combinait trois faiblesses dans la manière dont Zebra partageait et téléchargeait des informations.
Selon l’avis de la Fondation Zcash, l’exploit « a produit un score de mauvais comportement de zéro, zéro bannissements et zéro déconnexions », le rendant ainsi invisible pour les outils de surveillance standard.
Un deuxième bug (GHSA-jv4h-j224-23cc) a également empêché Zebra de compter correctement le nombre de signatures à l’intérieur d’un bloc de transactions (il comptait généralement moins que la limite de 20 000 sigops par bloc).
Apparemment, le système de Zebra ignorait deux types spécifiques de scripts (le scriptSig de l’entrée Coinbase et les signatures P2SH) lors de la validation des blocs. En raison de cela, un attaquant pouvait créer un bloc exploitant ces deux lacunes, passant les vérifications de Zebra mais échouant sur zcashd et créant une division de la chaîne.
Le troisième problème majeur (GHSA-gq4h-3grw-2rhv) s’est produit en raison d’une correction précédente de sighash qui a laissé des données périmées dans une zone de stockage temporaire (buffer) lisible à travers l’interface de fonctions étrangères C++ de Zebra.
Par conséquent, un attaquant pouvait exploiter cela en utilisant une signature valide pour remplir le buffer avec des informations correctes, puis envoyer une deuxième transaction avec un type de hachage invalide qui passerait la vérification sur la base des données résiduelles.
Pour résoudre ce problème, la Fondation a appliqué un correctif temporaire qui dissémine le buffer avec des octets aléatoires si une vérification échoue, empêchant ainsi le système de réutiliser d’anciennes informations jusqu’à ce qu’un correctif permanent soit déployé.
Les deux derniers bugs ont provoqué des désaccords entre d’autres parties du système. Un bug surchargeait le réseau en lui faisant utiliser trop de mémoire lors de la lecture des messages (GHSA-438q-jx8f-cccv). L’autre était une légère divergence de codage dans la manière dont Zebra vérifiait certaines transactions (GHSA-cwfq-rfcr-8hmp).
La Fondation a noté que ce dernier n’était pas exploitable en pratique, mais a tout de même procédé à sa correction pour correspondre au comportement de zcashd. Le chercheur en sécurité Sangsoo-osec a été crédité de la découverte de trois des cinq problèmes.
La publication aurait-elle pu avoir lieu à un meilleur moment ?
Selon DeFiLlama, avril 2026 a été le mois le plus piraté de l’histoire de la cryptomonnaie (par nombre d’incidents), subissant environ 28 à 30 attaques distinctes. Les Publication X chiffres du 30 avril de CertiK ont établi les pertes totales à environ 651 millions de dollars, le niveau le plus élevé depuis mars 2022, à l’exclusion de la brèche de Bybit en février 2025.
Deux incidents ont été responsables de la majeure partie des dégâts. Le 1er avril, Drift Protocol a perdu environ 285 millions de dollars dans une opération d’ingénierie sociale liée au groupe Lazarus de Corée du Nord. Le 18 avril, KelpDAO avait subi sa propre brèche de spoofing de messages de 293 millions de dollars ciblant un pont inter-chaînes LayerZero, selon Cryptopolitan.
Il est à noter qu’aucun des exploits d’avril n’a ciblé directement Zcash. Mais le volume massif d’attaques sur les différentes chaînes reflète pourquoi sa Fondation a choisi de qualifier la mise à jour Zebra de « critique » et de pousser à une adoption immédiate.
Ce que les opérateurs de nœuds Zcash doivent faire
La Fondation conseille à tous les opérateurs de mettre à niveau vers Zebra 4.4.0 immédiatement, car la publication n’introduit aucun autre changement significatif au-delà des correctifs de sécurité.
Les opérateurs de nœuds exécutant des versions plus anciennes restent exposés aux cinq vulnérabilités, y compris l’arrêt de la découverte de blocs qui ne nécessite qu’une seule connexion malveillante pour être exécuté.
ZEC était cotée à 377.46 au moment de la rédaction, selon CoinMarketCap, avec une capitalisation boursière de 6,28 milliards de dollars.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
