Zcash pourrait reporter une mise à jour de sécurité cruciale

La mise à niveau Ironwood du réseau crypto Zcash (ZEC), axé sur la confidentialité, pourrait être reportée. Selon le développeur Shielded Labs, des acteurs clés de l’écosystème, dont des plateformes d’échange, des pools de minage et des fournisseurs de portefeuilles, pourraient ne pas disposer de suffisamment de temps pour préparer leurs systèmes avant l’activation prévue fin juillet.

Ce possible report intervient à un moment délicat. Ironwood doit en effet corriger une vulnérabilité grave du réseau, alors que Zcash bascule parallèlement vers une toute nouvelle infrastructure logicielle.

Ironwood doit corriger une vulnérabilité majeure

Ironwood a été développé après la découverte, par des chercheurs, d’une faille grave dans Orchard, le principal environnement de transactions protégées de Zcash. Cette « infinity bug » permettrait en théorie à un attaquant de créer un nombre illimité de faux tokens ZEC sans que cela soit immédiatement détectable.

Selon les développeurs, rien n’indique que la vulnérabilité ait effectivement été exploitée. Mais cette hypothèse ne peut pas non plus être totalement écartée. Comme Orchard masque les transactions, il n’est pas possible de vérifier a posteriori l’intégralité de chaque opération.

Avec la mise à niveau Ironwood, Zcash introduit donc un nouveau pool privé. Les nouvelles transactions via Orchard seront arrêtées, tandis que les fonds quittant l’ancien environnement feront l’objet d’une vérification supplémentaire. L’objectif est de garantir que le nombre de tokens ZEC en circulation reste dans les limites prévues.

Deux changements majeurs en même temps

Selon Jason McGee, directeur de Shielded Labs, les organisations de l’écosystème Zcash font face à un double défi. Outre le déploiement d’Ironwood, elles doivent abandonner l’ancien logiciel zcashd.

Il sera remplacé par la nouvelle pile Z3. Celle-ci comprend Zebra, qui assure la connexion au réseau, Zaino, qui met les données de la blockchain à disposition des applications, et Zallet, utilisé pour la gestion des portefeuilles.

Comme ces deux évolutions interviennent simultanément, les fournisseurs d’infrastructure doivent adapter leurs systèmes, les tester en profondeur et les contrôler avant que la mise à niveau puisse être activée en toute sécurité. C’est précisément là que se situe, selon McGee, la principale difficulté. Zallet et Zaino, en particulier, sont encore en développement et ne sont pas totalement prêts pour des environnements de production.

Les échanges avec les fournisseurs d’infrastructure montrent qu’une partie d’entre eux estime pouvoir être prête pour la migration d’ici fin juillet. D’autres indiquent avoir besoin de davantage de temps pour mener la transition avec prudence. La documentation officielle montre par ailleurs que certaines fonctions de zcashd n’auront pas de remplaçant direct, ce qui obligera les organisations à adapter leur infrastructure existante.

Aucune décision n’a encore été prise sur un report

Shielded Labs souligne qu’aucune décision définitive n’a encore été prise concernant un éventuel report de la mise à niveau Ironwood. Les différents scénarios sont actuellement à l’étude.

Le fondateur de Zcash, Zooko Wilcox, indique également que les audits de sécurité réalisés jusqu’ici n’ont révélé aucune vulnérabilité critique. Selon lui, les développeurs travaillent encore à des vérifications complémentaires afin que la nouvelle infrastructure puisse être activée de manière sûre et stable dès que le réseau sera prêt.

Avec un éventuel report, Zcash veut éviter que les fournisseurs d’infrastructure aient à mener une migration logicielle lourde sous pression. Le réseau privilégie ainsi une mise en œuvre prudente, même si cela signifie qu’Ironwood sera lancé plus tard que prévu initialement.