Hard fork Zilliqa du 2 septembre 2026 : ce qu'il advient de vos ZIL lors de la migration

Si vous détenez des ZIL sur une plateforme d'échange et que vous ne pouvez ni déposer ni retirer depuis des semaines, le 2 septembre 2026 est le jour où cela doit changer. Ce jour-là, à la hauteur de bloc 34 844 968, estimée aux alentours de 12 h 58 UTC, Zilliqa procède à un hard fork qui transfère les soldes en ZIL de dix plateformes des anciens portefeuilles vers de nouvelles adresses. Les établissements concernés rouvriront ensuite les dépôts et les retraits. Vous n'avez rien à faire vous-même.

Si en revanche vous conservez vos ZIL dans votre propre portefeuille sur l'ancien réseau, une seconde opération, plus vaste, vous concerne, et elle n'a toujours aucune date : chaque détenteur du côté ancien devra migrer plus tard, y compris celui qui n'a jamais été volé. À l'origine des deux, il n'y a pas une mise à jour planifiée, mais une erreur de signature dans l'application Zilliqa pour Ledger. Selon le décompte de Zilliqa lui-même, 683 130 969,66 ZIL ont ainsi quitté 6 772 comptes.

Ce texte distingue les deux niveaux : ce qui se passe réellement le 2 septembre, et ce qui reste en suspens ensuite.

Ce qu'est un hard fork et ce qui se passe chez Zilliqa le 2 septembre 2026

Un hard fork est une modification des règles d'une chaîne de blocs qui rend incompatibles l'ancien et le nouveau logiciel : à partir d'un bloc déterminé, seules les nouvelles règles s'appliquent, et qui ne suit pas sort du réseau. Il est déclenché non par une heure, mais par la hauteur de bloc, c'est-à-dire le numéro courant du dernier bloc inscrit. Toute indication horaire à ce sujet relève de la projection.

Le fork dont il est question ici modifie peu de choses au protocole lui-même. Sa mission est un transfert. Les avoirs en ZIL que dix plateformes centralisées détiennent pour leurs clients dans les anciens portefeuilles fondés sur Schnorr sont inscrits sur de nouvelles adresses du réseau Zilliqa EVM. Chaque plateforme fournit elle-même ces adresses de destination et les confirme au préalable. Une signature Schnorr est le procédé de signature de l'ancien réseau Zilliqa, par lequel une transaction prouve qu'elle émane bien du titulaire du compte.

Un point compte pour la mise en perspective : ce fork est une mesure administrative portant sur les soldes des plateformes. Ce n'est pas une mise à jour du réseau qui vous apporterait de nouvelles fonctions, et ce n'est pas une restitution des fonds dérobés. Nous avons décrit le déroulement d'un hard fork régulier et planifié, et ce à quoi détenteurs, négociateurs et délégateurs doivent penser, à travers l'exemple du hard fork Pasteur de BNB sous forme de liste de contrôle. La différence avec le cas Zilliqa tient au motif, pas à la mécanique.

Ce qu'est Zilliqa et pourquoi le réseau compte deux côtés

Zilliqa est une chaîne de blocs de couche 1, autrement dit une chaîne autonome dotée de son propre consensus et de sa propre pièce, et elle a démarré avec une particularité technique : le sharding. Le sharding consiste, pour un réseau, à répartir ses nœuds en groupes qui traitent les transactions en parallèle, au lieu que chaque nœud vérifie chaque transaction. Cela accroît le débit, mais rend le protocole nettement plus complexe. Le ZIL est la pièce native de ce réseau et y acquitte les frais de transaction.

La refonte vers Zilliqa 2.0 y a ajouté la compatibilité EVM, et depuis lors le projet exploite deux environnements en parallèle. Ce basculement était déjà engagé avant l'incident. L'incident l'a accéléré et rendu irréversible : le mainnet, c'est-à-dire le réseau principal de production par opposition à un réseau de test, ne doit plus à l'avenir se composer que du côté EVM, l'ancien côté étant mis hors service plutôt que réparé.

Pourquoi vos ZIL sont bloqués depuis des semaines sur la plateforme

Le 20 juillet 2026, Zilliqa a suspendu toutes les transactions sur l'ancien côté du réseau. Depuis, plus rien n'y bouge, ni votre solde ni celui d'un attaquant. C'est précisément cette pause qui explique que les plateformes aient suspendu les dépôts et les retraits en ZIL. Techniquement, les établissements ne peuvent plus travailler sur l'ancien côté.

Le défaut tenait dans huit octets

Chaque signature Schnorr consomme un nonce, c'est-à-dire un nombre aléatoire frais qui doit être utilisé exactement une fois et jamais réemployé. L'application Zilliqa pour Ledger générait ce nombre correctement, puis le recopiait de façon erronée dans la mémoire tampon de signature. Ce faisant, elle conservait huit octets de remplissage composés de zéros et écartait huit octets de hasard véritable. Les 64 bits de poids fort de chaque nonce se trouvaient ainsi figés à zéro.

Le rapport d'analyse de Zilliqa décrit la conséquence avec précision : chaque signature ainsi produite révèle environ 64 bits de la clé privée, et à partir de quatre signatures ou plus d'un même compte, la clé se reconstitue en quelques secondes sur du matériel ordinaire. Il n'y faut que des données déjà inscrites publiquement dans la chaîne. Personne n'a été trompé, aucun appareil n'a été piraté, aucune phrase de récupération n'a été dérobée. L'information s'est échappée par les transactions elles-mêmes.

Qui a écrit l'application

Une attribution précise s'impose ici, car le nom de Ledger est en jeu. Selon Zilliqa, l'implémentation initiale de l'application concernée provient de Zilliqa lui-même, le défaut était présent dans chaque version publiée, et le correctif a été écrit par un développeur de Zilliqa puis soumis à Ledger sous forme de demande d'intégration. Votre phrase de récupération n'a été concernée à aucun moment, et les avoirs que vous conservez sur le même appareil sur d'autres chaînes ne sont pas menacés selon cette même présentation. Le défaut atteint exactement un chemin de signature, et pas un pas de plus.

Les chiffres, et pourquoi ce sont des planchers

Sont établis 683 130 969,66 ZIL issus de 66 transactions. 6 772 comptes sont considérés comme exposés de façon démontrée, dont 51 ont été entièrement vidés. Zilliqa qualifie expressément ces deux valeurs de planchers, obtenus par la preuve et non par l'estimation. Selon le même décompte, 73,9 % des anciennes adresses attribuables sont sûres par construction, parce qu'elles n'ont jamais signé via l'application concernée.

La chronologie explique pourquoi la chose est restée si longtemps inaperçue. Le premier vol établi remonte au 4 mars 2026. L'exploitation a été signalée le 19 juillet 2026 par la plateforme KuCoin, après que celle-ci eut constaté des sorties suspectes depuis l'un de ses propres portefeuilles hors ligne. Un jour plus tard, les anciennes transactions étaient coupées. Que personne n'ait donné l'alerte plus tôt tient à une raison technique : dans ce procédé, la valeur de contrôle se déduit du message, de sorte que la recherche habituelle de valeurs en double, par laquelle beaucoup de chaînes traquent couramment les défauts de signature, ne donne ici aucun résultat.

Quelles sont les dix plateformes du premier lot du hard fork

Dans le premier lot que le fork traitera le 2 septembre figurent, selon l'annonce de l'équipe de Zilliqa, dix places de marché :

• KuCoin
• Binance.US
• MEXC
• OKCoin
• Bitvavo
• Korbit
• WhiteBit
• Bitrue
• CoinSpot
• CoinSwitch

Pour un investisseur européen, c'est surtout Bitvavo qui compte dans cette liste, car la plateforme dessert le marché européen. Si votre place de marché n'y figure pas, cela ne signifie pas qu'elle en serait exclue. Zilliqa parle expressément d'un premier lot et n'avance à ce jour aucune date pour les autres établissements.

Ce que vous pouvez attendre après le fork n'a rien d'un interrupteur. Les plateformes du premier lot entendent reprendre les dépôts et les retraits sur Zilliqa EVM dès que leur propre migration et leurs tests d'intégration seront achevés. Zilliqa écrit d'ailleurs que les calendriers peuvent diverger d'un établissement à l'autre. Comptez donc en jours plutôt qu'en minutes, et consultez la page d'état de votre propre prestataire au lieu de vous fier à une date générale.

Legacy Zilliqa ou Zilliqa EVM : de quel côté se trouvent vos ZIL

L'affaire ne se comprend qu'à condition de retenir une distinction. Zilliqa exploite deux côtés. Legacy Zilliqa est le côté ancien, non compatible EVM, avec ses propres comptes, ses signatures Schnorr et l'application Ledger conçue pour elles. Zilliqa EVM, également appelé Zilliqa 2.0, est le côté plus récent, qui utilise le même environnement d'exécution qu'Ethereum.

EVM signifie Ethereum Virtual Machine et désigne l'environnement d'exécution normalisé dans lequel s'exécutent les contrats intelligents. Une chaîne compatible EVM peut reprendre directement les contrats et les formats d'adresse issus de l'univers Ethereum. La différence se reconnaît au format d'adresse : les anciennes adresses Zilliqa commencent par zil1, les adresses EVM par 0x.

L'incident ne concerne que le côté ancien. Qui n'a circulé que sur Zilliqa EVM n'en est pas touché. Cela vaut aussi pour les ZIL mis en jalonnement : s'ils sont jalonnés du côté EVM, cela continue de fonctionner. S'ils se trouvent dans un ancien contrat de jalonnement, ils sont en pause avec tout le reste du côté ancien et emprunteront plus tard la voie de récupération. Ne sont d'ailleurs pas seules concernées les transmissions de ZIL, mais toute forme de transaction, y compris le déplacement de jetons ZRC-2. ZRC-2 est la norme de jetons de l'ancien réseau Zilliqa et remplit à peu près la fonction que remplit l'ERC-20 sur Ethereum.

Il en découle pour vous une question pratique, à trancher avant le 2 septembre : vos avoirs se trouvent-ils sur une plateforme, dans votre propre portefeuille logiciel ou sur un appareil matériel ? Seul le premier cas est réglé par ce fork. Si l'occasion vous amène à réfléchir à votre mode de conservation, notre comparatif des portefeuilles matériels aide à ordonner les critères.

Les termes anglais que vous rencontrerez sur la page officielle

Zilliqa ne communique qu'en anglais, et qui va y lire bute sur des termes dont l'équivalent français ne saute pas toujours aux yeux. Cette correspondance aide : hard fork désigne la bifurcation dure décrite plus haut, block height la hauteur de bloc, exchange balances les soldes détenus sur les plateformes, deposits et withdrawals les dépôts et les retraits, legacy l'ancien côté du réseau et recovery la procédure de récupération prévue. Dans le vérificateur d'adresses et le rapport d'analyse apparaissent en outre accounts pour les comptes et vulnerability pour la faille.

Êtes-vous concerné ? Ce que peut faire le vérificateur d'adresses de Zilliqa

Depuis le 11 août 2026, Zilliqa met à disposition un vérificateur d'adresses. Vous saisissez une ancienne adresse Zilliqa et l'outil examine son historique public de signatures à la recherche de traces du défaut. Aucune connexion de portefeuille n'est nécessaire, et ni la phrase de récupération ni la clé privée ne sont demandées. Selon l'exploitant, seule l'adresse est transmise au serveur, traitée sur place et non conservée.

Vous entrez en ligne de compte comme concerné si vous avez un jour utilisé l'application Zilliqa pour Ledger afin de signer, quel qu'en soit l'objet : envoi de ZIL, jetons ZRC-2 et jetons non fongibles, ou jalonnement. La situation devient critique à partir d'environ quatre transactions ainsi signées, car c'est à ce point que la reconstitution de la clé devient concrètement possible. La version de l'application n'entre pas en ligne de compte, chaque version portant le défaut.

Selon le même décompte, vous n'êtes pas concerné si l'un de ces points s'applique à vous :

• Vous n'avez jamais utilisé d'appareil Ledger avec Zilliqa.
• Vous avez utilisé un appareil Ledger, mais jamais l'application Zilliqa dessus.
• Vous n'avez circulé que du côté EVM.
• Vous n'avez signé que par les kits de développement logiciels, à savoir zilliqa-js, gozilliqa-sdk ou pyzil.
• Vous jalonnez par le portail de jalonnement officiel de Zilliqa.

Pourquoi un résultat propre ne vaut pas quitus

Cette limite, Zilliqa la nomme lui-même, et elle appartient à toute présentation de l'affaire : les signatures produites hors de la chaîne n'y laissent aucune trace. Le vérificateur ne les voit donc pas. Un résultat sans anomalie signifie par conséquent qu'aucune exposition n'a été trouvée, et non qu'il n'en existe aucune. Traitez ce constat comme un indice et non comme un certificat de complaisance, et répondez en outre pour vous-même à la question de savoir si vous avez déjà utilisé l'application.

Le second point est plus désagréable. L'exposition est définitive. Les signatures une fois inscrites dans la chaîne ne peuvent plus être retirées. Une application corrigée protège donc les nouvelles clés et ne change rien aux clés qui ont déjà signé. Un compte exposé une fois devra à terme être mis hors service et son contenu porté sur une adresse neuve. C'est précisément la mission de l'outil de migration encore attendu.

Ce que vous pouvez concrètement faire avant le 2 septembre

La réponse honnête est : peu de chose, mais ce peu en vaut la peine. Quatre gestes sont possibles aujourd'hui.

Premièrement, vérifiez vos anciennes adresses dans le vérificateur et notez le résultat avec sa date. Si une procédure de récupération démarre plus tard, une trace écrite vaudra mieux qu'un souvenir. Deuxièmement, établissez où se trouvent réellement vos avoirs, et séparez les soldes de plateforme de la conservation autonome. Troisièmement, cherchez la page d'état de votre place de marché et vérifiez si elle figure dans le premier lot. Quatrièmement, ne touchez à aucun outil que quelqu'un vous adresse en privé.

Ce que vous ne devriez pas faire est tout aussi clair : n'essayez pas de déplacer d'anciens avoirs par des chemins détournés. Cela ne fonctionne de toute façon pas tant que dure la pause, et tout service qui vous promet le contraire ne travaille pas dans votre intérêt.

Ce que le hard fork du 2 septembre ne règle pas

Le fork remet dix plateformes en activité. Trois questions plus larges restent ensuite ouvertes, et aucune ne porte à ce jour de date ferme.

Il y a d'abord l'outil de migration destiné aux détenteurs en conservation autonome. Selon le rapport d'étape du 11 août 2026, il se trouvait en audit de sécurité externe, dont le rapport est attendu début septembre. Ce n'est qu'ensuite que Zilliqa entend annoncer une date de lancement. Vient ensuite la procédure de récupération pour les détenteurs de comptes concernés : il est prévu une voie par laquelle vous prouverez la propriété d'un compte sans divulguer votre phrase de récupération. La forme exacte de cette preuve est encore à l'étude. Vient enfin un modèle de tokenomique actualisé, censé refléter les avoirs du côté mis hors service.

Zilliqa écrit lui-même qu'aucune date n'est délibérément attachée à cette liste. En tant que lecteur, vous ne devez y voir ni un apaisement ni une alerte, mais ce que c'est : une position ouverte. Le 2 septembre met fin au blocage pour une partie des détenteurs et laisse l'autre partie attendre.

Pourquoi la hauteur de bloc 34 844 968 n'est pas une date fixe

Les échéances suspendues à une hauteur de bloc se déplacent lorsque le réseau tourne plus vite ou plus lentement que prévu. Nous avons donc mesuré plutôt que de reprendre l'indication. Une interrogation de la méthode eth_blockNumber auprès du nœud de production de Zilliqa a donné, le 29 août 2026 à 18 h 36 UTC, la hauteur de bloc 34 541 838. Il manquait ainsi 303 130 blocs jusqu'au bloc cible 34 844 968.

Au temps de bloc d'environ une seconde avec lequel travaille Zilliqa 2.0, cela correspond à quelque trois jours et demi. Calculé depuis le moment de la mesure, on aboutit au 2 septembre 2026, soit très exactement le jour annoncé. L'heure aux alentours de 12 h 58 UTC est la grandeur la plus incertaine de ce calcul. Des décalages de quelques heures sont normaux ; un écart de plusieurs jours ne le serait pas.

Concrètement : si vous ne voyez toujours aucune libération l'après-midi du 2 septembre, il n'y a pas lieu de s'inquiéter. Ce n'est qu'une fois le bloc cible dépassé et votre plateforme restée silencieuse plusieurs jours qu'une demande au service client se justifie.

Pourquoi les escrocs raffolent précisément de telles échéances

Une date à laquelle des milliers de personnes attendent la libération de leur argent est une aubaine pour les escrocs. Zilliqa met expressément en garde, sur sa propre page d'état, contre les imitateurs qui proposent leur aide pour une prétendue récupération, et énonce deux règles à retenir : l'équipe n'écrit jamais la première à quiconque, et elle ne demande en aucune circonstance phrase de récupération, clé privée ou phrase secrète.

Il en découle une attitude simple pour les semaines à venir. Tout formulaire de récupération, tout lien de migration et tout outil qui vous parvient en privé est réputé hostile, même s'il a l'air officiel ou provient d'un prétendu modérateur. N'utilisez que ce qui a été annoncé par les canaux officiels du projet, et vérifiez l'adresse de la page dans votre navigateur avant de saisir quoi que ce soit.

Ce que ce cas enseigne sur les échéances des plateformes crypto

Le cas Zilliqa est singulier par sa cause et parfaitement banal par ses effets. Un avoir est déposé chez un tiers, un processus technique l'immobilise, et le détenteur l'apprend en dernier. Vous connaissez ce même schéma des délais de migration de certains jetons et des arrêts de cotation, où des avoirs ne peuvent plus être déplacés passé une date butoir. Nous avons rassemblé dans un panorama distinct les échéances récurrentes auxquelles les avoirs déposés sur des plateformes se trouvent sous pression de temps, consacré aux échéances des plateformes crypto.

La leçon est inconfortable, parce qu'elle donne du travail. Un avoir sur une plateforme est une créance sur une entreprise et non une propriété inscrite sur la chaîne. Tant que tout fonctionne, la différence reste théorique. Un jour comme celui-ci, elle devient pratique, car c'est la place de marché, et non vous, qui décide si et quand vous y aurez de nouveau accès. Qui détient des montants importants a donc intérêt à les répartir sur plusieurs voies, et qui choisit une plateforme regardera, outre les frais, le siège, la supervision et le comportement de communication en cas d'incident.

Vérifier le hard fork Zilliqa : ce qu'il faut en retenir

1. Établissez d'ici au 1er septembre où se trouvent vos ZIL. Si votre place de marché figure dans le premier lot, vous n'avez rien à faire et attendez la libération. Si elle n'y figure pas, prévoyez une attente plus longue. Qui souhaite à cette occasion comparer où il négociera demain trouvera les critères dans notre comparatif des meilleures plateformes crypto.
2. Vérifiez vos anciennes adresses dans le vérificateur et consignez le résultat avec sa date. Un constat propre ne vaut pas quitus, mais il constitue une situation de départ documentée au cas où une procédure de récupération démarrerait. Si l'incident vous conduit à repenser votre mode de conservation, le comparatif des portefeuilles logiciels aide au choix.
3. Attendez le rapport d'audit sur l'outil de migration avant de migrer. Tant qu'aucune date de lancement officielle n'est fixée, tout outil proposé constitue un risque. Qui veut réduire par principe son risque de contrepartie classera ses places de marché selon la supervision et le siège, ce à quoi notre panorama des plateformes crypto réglementées fournit le cadre.

Les deux sources primaires à consulter : la page d'état officielle de Zilliqa sur l'incident, avec vérificateur d'adresses et plan d'action, ainsi que la dépêche sur la date du hard fork, avec hauteur de bloc et liste des plateformes.

(Au 29 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)