Quand on parle d'un « hack » de Zcash, de quoi parle-t-on vraiment ?

Début juin 2026, le mot « hack » a circulé partout au sujet de Zcash, et le cours du ZEC a effectivement plongé de près de 40 % en quelques jours. Mais l'histoire est plus nuancée — et bien plus instructive — qu'un simple vol de fonds. Ce qui s'est réellement produit, c'est la découverte et la correction d'une faille cryptographique critique avant qu'un attaquant ne puisse, à la connaissance de tous, en profiter. Et le détail le plus marquant, c'est l'outil qui a permis de la débusquer : un modèle d'intelligence artificielle.

Chez Captain Mining, nous suivons de près tout ce qui touche à l'intégrité des réseaux que nos clients minent et détiennent. Cet épisode mérite qu'on s'y attarde, parce qu'il touche au cœur de ce qui rend une cryptomonnaie crédible : la garantie que son offre ne peut pas être falsifiée.

Ce qui s'est passé, en bref

En avril 2026, Shielded Labs — l'un des organismes qui financent le développement de Zcash — mandate le chercheur en sécurité indépendant Taylor Hornby pour auditer le circuit Orchard, la pièce maîtresse des transactions confidentielles de Zcash. Le 29 mai, en s'appuyant sur le modèle Claude Opus 4.8 d'Anthropic couplé à son propre cadre d'audit, Hornby met le doigt sur une vulnérabilité critique. En une seule journée, il localise la faille, écrit un exploit fonctionnel et parvient à fabriquer du ZEC contrefait — sur un réseau de test local, jamais sur le réseau principal.

Il divulgue immédiatement le problème, en privé, aux ingénieurs du Zcash Open Development Lab (ZODL). En quelques heures, les développeurs Daira-Emma Hopwood, Kris Nuttycombe et Jack Grigg confirment le bug et enclenchent une réponse d'urgence. Le correctif est livré le 1er juin. Un soft fork désactive temporairement les transactions Orchard le 2 juin, puis un hard fork d'urgence baptisé NU6.2 s'active le 3 juin pour refermer définitivement la brèche. Le fondateur de Zcash, Zooko Wilcox, rend l'affaire publique le 5 juin — une fois le réseau sécurisé.

Le plus vertigineux ? D'après l'analyse de la chronologie de la blockchain, la faille était présente dans le code depuis exactement 4 ans, 1 jour et 10 heures. Pendant tout ce temps, quiconque comprenait suffisamment bien le circuit Orchard aurait pu créer du ZEC à partir de rien, en silence et sans laisser de signature on-chain.

La faille, expliquée simplement

Pour saisir la gravité du problème, il faut comprendre ce qu'est Orchard. Lancé en mai 2022 avec la mise à niveau NU5, Orchard est le pool de transactions « blindées » (shielded) le plus avancé de Zcash. Il utilise des preuves à divulgation nulle de connaissance (zero-knowledge proofs) pour valider une transaction — confirmer qu'elle est légitime et équilibrée — sans jamais révéler le montant, l'expéditeur ni le destinataire. C'est ce qui fait de Zcash une véritable monnaie de confidentialité.

Ce système repose sur une propriété mathématique fondamentale appelée la « solidité » (soundness) : le réseau ne doit accepter que des transitions d'état valides. Or, la faille découverte par Hornby brisait précisément cette propriété. Nichée dans deux lignes de code de la bibliothèque halo2_gadgets (le système de preuve Halo 2 sur lequel Orchard est bâti), elle laissait une vérification de multiplication sur courbe elliptique « sous-contrainte ». En clair : un contrôle censé rejeter les entrées mathématiquement invalides les laissait passer. La porte était ouverte pour forger des transactions et fabriquer du ZEC contrefait directement à l'intérieur du pool confidentiel — sans aucune trace cryptographique exploitable pour le détecter.

Fait notable pour les développeurs : les vérifications de courbes elliptiques mal contraintes comptent parmi les bugs les plus courants dans les circuits ZK en production. Si une telle faille a pu survivre quatre ans dans l'un des circuits les plus scrutés de l'industrie, c'est un signal d'alarme pour l'ensemble de l'écosystème des protocoles à preuves.

Pourquoi une IA a réussi là où des cryptographes chevronnés avaient échoué

C'est l'aspect le plus fascinant de cette affaire. Historiquement, auditer un circuit ZK exige des cryptographes hautement spécialisés et des semaines d'analyse manuelle. Le bug d'Orchard avait pourtant résisté à des années d'examen par certains des meilleurs experts du domaine. Le flux de travail de Hornby — un modèle de pointe couplé à un cadre d'audit sur mesure — l'a fait remonter à la surface en quelques jours seulement.

L'industrie a déjà un nom pour ce phénomène : l'audit de protocole assisté par l'IA. Zcash en devient le cas le plus médiatisé, mais probablement pas le dernier. Plusieurs équipes de blockchains de couche 1 ont annoncé, dans les jours qui ont suivi, le lancement de programmes de revue de code augmentés par l'IA. Le message à retenir est direct : il faut présumer que des failles cachées existent, et présumer que l'IA finira par les trouver — qu'il s'agisse de chercheurs « white hat » ou, un jour, d'acteurs malveillants.

Une réponse d'urgence chirurgicale

La réaction de l'écosystème Zcash mérite d'être saluée, car elle illustre ce qu'est une gestion de crise réussie. Pendant la fenêtre de divulgation, Shielded Labs a coordonné en coulisses avec l'Electric Coin Company, la Zcash Foundation, les portefeuilles, les bourses et les opérateurs de nœuds — de sorte que la mise à niveau a été déployée avant que les détails ne deviennent publics. Les transactions Sapling et transparentes, elles, ont continué de fonctionner normalement tout du long.

Un garde-fou structurel a aussi joué un rôle clé : le mécanisme de turnstile de Zcash, qui suit et impose l'équilibre des montants entre les différents pools de valeur. Même dans le pire scénario, ce mécanisme offrait une vérité de référence empêchant le plafond d'offre total de ZEC d'être gonflé au-delà de ce qui peut sortir d'un pool. Shielded Labs propose d'ailleurs d'étendre cette comptabilité « turnstile » aux sorties du pool Orchard, afin que le réseau puisse vérifier la cohérence de l'offre chaque fois que des fonds blindés repassent vers la chaîne transparente. Ce n'était que la deuxième mise à niveau de protocole motivée par la sécurité dans toute l'histoire de Zcash depuis son lancement en 2016.

Le marché a tranché avant d'avoir toutes les réponses

Côté prix, la réaction a été brutale. Le ZEC, qui figurait parmi les cryptos les plus performantes de la semaine, a chuté d'environ 38 % — et jusqu'à près de 48 % en séance selon certaines sources — passant de sommets autour de 635 $ à un creux avoisinant 309 $, avant de se stabiliser dans la zone des 400 $. Plusieurs milliards de dollars de capitalisation se sont évaporés. Le cofondateur de BitMEX, Arthur Hayes, a publiquement liquidé l'intégralité de sa position, amplifiant le mouvement sur les réseaux sociaux.

Pourquoi vendre alors que le correctif était déjà en place ? Parce que la confidentialité de Zcash joue dans les deux sens. Comme le pool Orchard masque les soldes par conception, personne ne peut prouver cryptographiquement si la faille a été exploitée ou non au cours des quatre dernières années. Shielded Labs juge une exploitation « probablement » improbable — vu la complexité du bug et les outils requis pour le trouver — mais reconnaît qu'il est impossible d'en avoir la certitude absolue. Face à cette incertitude, une partie des investisseurs a préféré traiter l'offre elle-même comme suspecte jusqu'à la mise en place de la comptabilité turnstile. La reprise s'est amorcée une fois le hard fork activé proprement et confirmé par les bourses.

« Hack » ou divulgation responsable ?

C'est la distinction essentielle à retenir. Un hack, au sens strict, implique un vol confirmé de fonds. Ici, il n'y a aucune preuve qu'un seul ZEC ait été contrefait sur le réseau principal, et aucune valeur non autorisée n'est connue pour avoir été créée. Ce que l'on a observé, c'est un cas d'école de divulgation responsable : un chercheur mandaté trouve une faille, la signale en privé, l'équipe la corrige en urgence, puis le tout est rendu public. Le système a fonctionné comme il le devait.

La chute du prix reflète donc surtout l'incertitude, pas une perte avérée. Pour un détenteur ou un mineur, c'est une nuance qui change tout dans l'évaluation du risque réel.

Ce que ça change pour les mineurs et l'écosystème

Rappelons que Zcash est une cryptomonnaie en preuve de travail (algorithme Equihash) : elle se mine. Pour quiconque exploite du matériel ou détient du ZEC, l'intégrité de l'offre n'est pas un détail abstrait — c'est le fondement même de la valeur de chaque pièce extraite. Un bug d'inflation non détecté aurait pu, en théorie, diluer silencieusement la récompense de chaque mineur honnête. La bonne nouvelle, c'est que le mécanisme turnstile et la rapidité du correctif ont protégé cette intégrité.

Trois leçons se dégagent pour notre communauté. D'abord, la sécurité d'un protocole n'est jamais acquise : même les réseaux les plus matures et les mieux audités peuvent abriter des failles vieilles de plusieurs années. Ensuite, la qualité de la gouvernance compte autant que la technologie — la capacité de Zcash à coordonner un hard fork d'urgence en cinq jours est un signe de santé, pas de faiblesse. Enfin, l'irruption de l'IA dans l'audit de sécurité va rebattre les cartes : les protocoles vont devoir accélérer leur cadence de revue, et les actifs dont les équipes adoptent ces outils en sortiront renforcés.

Chez Captain Mining, notre rôle est de vous aider à miner et à investir en connaissance de cause. Un épisode comme celui-ci rappelle l'importance de diversifier, de comprendre les fondamentaux techniques des actifs que l'on détient, et de distinguer le bruit médiatique (« hack ! ») de la réalité (une faille corrigée de façon responsable). C'est précisément ce type de discernement qui sépare un opérateur averti d'un spéculateur.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier, juridique ou en investissement. Le marché des cryptomonnaies est volatil. Faites toujours vos propres recherches avant de prendre une décision.

Sources : CoinDesk, Decrypt, The Block, Blockhead, Genfinity, Gizmodo, KuCoin ; déclaration de Zooko Wilcox et publication de Charles Guillemet (Ledger) sur X ; forum communautaire Zcash.