Menace quantique, fonds volés : Zcash au cœur des enjeux de confidentialité
Protéger les paiements d’aujourd’hui contre les ordinateurs de demain. L’équipe de Zakura, un logiciel de nœud du réseau Zcash, propose de renforcer la confidentialité des swaps réalisés via NEAR Intents. Son approche consiste à attribuer une clé de visualisation distincte à chaque échange pour limiter les informations qu’un futur ordinateur quantique pourrait révéler. Cette initiative intervient alors que des enquêteurs signalent l’utilisation de Zcash pour dissimuler des fonds issus de piratages.
Points clés
- Zakura veut empêcher qu’une adresse publiée lors d’un swap permette, à terme, de révéler les paiements reçus par tout un compte.
- Le dispositif sépare les clés de visualisation des échanges tout en conservant la même autorité de dépense.
- Parallèlement, ZachXBT et Specter signalent des transferts de fonds volés vers Zcash, illustrant les difficultés de traçage liées aux transactions confidentielles.
Zcash veut limiter le risque quantique sur les swaps NEAR Intents
Lorsqu’un utilisateur échange des ZEC protégés contre un autre actif via NEAR Intents, le service prévoit une adresse pour rembourser les fonds inutilisés ou restituer le dépôt en cas d’échec. Or cette adresse apparaît sur la blockchain publique NEAR, même lorsque l’opération aboutit sans remboursement.
Avec les moyens informatiques classiques, cette publication ne permet pas de retrouver la clé secrète utilisée pour lire les paiements entrants. Cependant, un ordinateur quantique suffisamment puissant pourrait théoriquement y parvenir grâce à l’algorithme de Shor.
Le problème tient à l’architecture des comptes concernés : plusieurs adresses peuvent partager une même clé de visualisation. Sa compromission exposerait alors les paiements reçus par ces adresses, leurs montants et leurs mémos. Cette clé ne suffit toutefois pas à dépenser les fonds, ce qui distingue le risque de confidentialité du risque de vol.
Zakura propose donc une clé différente pour chaque swap, sans modifier l’autorité de dépense du compte principal. Compromettre une adresse exposerait uniquement les paiements qui lui sont associés.
Pour éviter que cette multiplication des clés ralentisse la restauration du portefeuille, l’équipe prévoit une recherche privée dans une base de transactions. La technique Private Information Retrieval (PIR) permet d’obtenir une réponse sans révéler au serveur l’adresse recherchée. Les portefeuilles compatibles, dont Vizor, pourraient intégrer le dispositif dans les prochaines semaines, selon Zakura.
Une confidentialité également exploitée pour déplacer des fonds volés
Ces travaux répondent à une menace future. Mais les protections actuelles de Zcash compliquent déjà certaines enquêtes sur des piratages.
ZachXBT a notamment signalé le transfert d’environ 2 700 ZEC, valorisés à 3,8 millions de dollars à l’époque, vers le pool protégé Ironwood depuis des portefeuilles liés à l’attaque contre Bitget. La plateforme avait évalué l’ensemble des actifs dérobés lors de son incident de septembre à 387,5 millions de dollars.
Le 17 octobre, l’analyste Specter a également évoqué des fonds issus des incidents Cryptobills Ledger et Triple-A transférés vers Zcash. Toutefois, les éléments publics ne fournissent pas de parcours exhaustif ni de montant précis pour ces deux mouvements supplémentaires. Ils n’établissent pas non plus que les mêmes attaquants se trouvent derrière les trois affaires.
Les transactions protégées limitent les informations accessibles aux observateurs extérieurs. Identifier un dépôt ne permet donc pas nécessairement de reconstituer les transferts suivants ou leur destination finale. Cela ne signifie pas pour autant que toute enquête devient impossible : les données publiques ne constituent qu’une partie des éléments mobilisables.
Le correctif de Zakura ne répond pas à ces détournements d’usage. Il vise à réduire l’exposition future des utilisateurs dont une adresse devient publique. La confidentialité protège ainsi des besoins légitimes tout en pouvant compliquer la recherche de fonds volés.
Aucune attaque quantique capable de récupérer ces clés n’a été démontrée à ce stade. L’enjeu reste néanmoins concret : les adresses publiées aujourd’hui demeurent accessibles, même lorsque les capacités de déchiffrement évoluent.
Ben Canton
Avec une formation en littérature et en langues, j’aime mêler l’analyse rigoureuse au goût des idées pour décrypter les grands enjeux économiques et (géo)politiques liés aux cryptomonnaies. Depuis 2021, j’écris pour le Journal du Coin où je me concentre sur des sujets comme le Bitcoin, les MNBC, la tokenisation des RWA et plus largement les mutations stratégiques du Web3. Lecteur passionné, curieux du monde et des rapports de pouvoir qui le structurent, je m’efforce de rendre ces thématiques accessibles à tous, avec une attention particulière pour les projets pensés pour le grand public.