Zcash aujourd'hui : 2 746 ZEC du piratage de Bitget disparaissent dans le pool Ironwood

Une partie du butin de l'intrusion chez la plateforme Bitget n'est plus traçable depuis mercredi matin. Dans la matinée, 2 746 ZEC ont été transférés en trois opérations vers Ironwood, le plus récent espace masqué de Zcash. Au cours de mercredi midi, cela représente environ 3,9 millions de dollars, soit près de 15 % des ZEC sortis de la plateforme le 24 septembre. Pour votre propre portefeuille, rien n'en découle pour l'instant : qui détient des ZEC dans son propre portefeuille n'est pas concerné par ces transferts. La question pratique se situe ailleurs, et elle touche tous ceux qui achètent ou vendent des ZEC via un compte de plateforme.

Le mouvement a été signalé par l'enquêteur blockchain pseudonyme ZachXBT, qui a rendu publics les trois transferts mercredi sur sa chaîne Telegram. CoinDesk les a ensuite retracés à partir des données de transaction. Selon ce même rapport, les fonds sont passés par deux adresses intermédiaires, alimentées depuis un portefeuille que Bitget avait elle-même attribué à l'attaquant.

2 746 ZEC en trois transferts : la route vers le pool Ironwood

Les chiffres sont proches, mais divergent légèrement selon la source. CoinDesk fait état de 2 746 ZEC en trois dépôts et d'environ 3,9 millions de dollars. Cryptobriefing parle de 2 700 ZEC environ et de quelque 3,8 millions de dollars. Les deux maisons comptent la même opération, à des niveaux de cours légèrement différents et avec un arrondi différent. Retenez donc la fourchette : entre 2 700 et 2 750 ZEC, entre 3,8 et 3,9 millions de dollars.

Le total des ZEC dérobés varie lui aussi légèrement. CoinDesk arrive à environ 18 917 ZEC, Cryptobriefing à quelque 18 900 ZEC pour une contre-valeur d'environ 28 millions de dollars. Dans les deux cas, la part masquée correspond à peu près au septième que les rapports chiffrent à 15 %.

L'ordre des opérations compte pour bien comprendre. Après l'intrusion, les ZEC se trouvaient sur des adresses ordinaires, consultables par n'importe qui. Seul le passage vers Ironwood change la donne, et il ne concerne jusqu'ici qu'une petite partie de la somme.

Ce qui distingue une adresse transparente d'une adresse masquée

Zcash connaît deux types d'adresses. Une adresse transparente fonctionne comme une adresse Bitcoin : montant, expéditeur et destinataire figurent ouvertement dans la chaîne et tout observateur peut les lire. Une adresse masquée relève en revanche de ce que l'on appelle un pool masqué, dans lequel précisément ces trois informations sont chiffrées. Tant qu'un avoir reste dans le pool, un observateur extérieur voit seulement que quelque chose y est entré.

Le pool masqué expliqué : Ironwood dissimule expéditeur, destinataire et montant

Un pool masqué est un espace chiffré à l'intérieur de la même blockchain, où les transferts ont bien lieu et sont vérifiés cryptographiquement, mais dont les détails ne sont pas visibles publiquement. Ironwood est, selon la description de CoinDesk, le plus récent de ces espaces chez Zcash. Les transferts effectués à l'intérieur du pool dissimulent en même temps l'expéditeur, le destinataire et le montant.

Zcash a renouvelé ces espaces à plusieurs reprises au fil des ans ; Ironwood est le plus récent, et les pools plus anciens subsistent à côté. Pour le cas présent, une seule propriété compte : dès qu'un montant se trouve dans le pool, la chaîne elle-même n'offre plus aucun moyen de le rattacher à son origine.

Ce n'est ni un défaut ni une faille juridique. C'est la finalité assumée de la technologie. Zcash a démarré en 2016 explicitement comme une monnaie aux données de paiement chiffrées. La propriété qui cache son salaire à un employé cache aussi à un attaquant la provenance de son butin.

Pourquoi 15 % du butin en ZEC suffisent à rompre la piste

Face à des cryptoactifs dérobés, les enquêteurs travaillent normalement avec la chaîne elle-même : suivre une somme d'adresse en adresse, repérer les divisions et les regroupements, et attendre qu'un montant partiel arrive chez une plateforme qui connaît ses clients. C'est précisément là que des fonds peuvent être gelés. L'efficacité du procédé s'est déjà vérifiée dans cette affaire : un autre protocole indique avoir bloqué 50 millions de dollars issus du même butin avant qu'ils ne s'échappent.

Dans le pool masqué, cette méthode s'interrompt. Il n'existe aucune adresse de destination à observer, ni aucun montant à reconnaître. La piste n'est pourtant pas entièrement perdue. CoinDesk souligne que, lors d'un retour ultérieur vers des adresses transparentes, les enquêteurs peuvent repartir des horaires, des ordres de grandeur et d'autres données annexes. À l'intérieur du pool, Zcash ne livre toutefois de lui-même aucun chemin de transaction.

Pour les parties en présence, cela tourne à la course de vitesse. Tout montant encore à découvert peut apparaître chez un prestataire et y être stoppé. Tout montant masqué échappe à cette prise pour le moment.

Environ 24 millions de dollars restent sur des adresses transparentes

Le reste des ZEC demeure consultable selon le rapport de Cryptobriefing : environ 24 millions de dollars sur des adresses transparentes, à la date de la publication de mercredi. C'est de loin la plus grande part, et elle reste observable. Prendra-t-elle le même chemin ? La question est ouverte ; seul le pas de mercredi matin est établi à ce jour.

Cette répartition explique aussi le poids de l'information malgré un montant relativement modeste. Le poids ne tient pas à la somme. Il tient à la démonstration que la voie vers l'espace masqué est ouverte et qu'elle est empruntée.

L'intrusion du 24 septembre : 387,5 millions de dollars via une faille zero-day

L'incident dont proviennent ces ZEC remonte à six jours. Le 24 septembre, selon les rapports disponibles, 387,5 millions de dollars sont sortis des portefeuilles de la plateforme Bitget, établie aux Seychelles. Les rapports désignent comme cause une faille zero-day dans un logiciel de sécurité acheté à un tiers, associée à des identifiants internes détournés permettant de déclencher des ordres de retrait.

Une faille zero-day est une vulnérabilité connue des attaquants mais pas encore de l'éditeur, de sorte qu'aucune correction n'existe au moment de l'attaque. L'emplacement de la faille mérite d'être relevé : un produit fourni par un tiers, et non le code propre de la plateforme. La surface d'attaque d'un lieu de négociation ne s'arrête donc pas à ses propres logiciels.

Le poste le plus important était, selon Cryptobriefing, le XRP avec environ 157 millions de dollars, suivi de l'ETH, de l'USDT, de l'USDC, du BNB, de l'AVAX et du TRX. Avec quelque 28 millions de dollars, les ZEC représentent une part plus modeste, mais ils occupent désormais le devant de la scène parce qu'eux seuls offrent l'échappatoire masquée.

Nous avons réuni dans un texte distinct les chiffres sur la gestion du sinistre par la plateforme et sur les retraits de clients dans les jours qui ont suivi. Bitget indique de son côté que la perte est couverte par son propre fonds de protection, qu'elle évalue à plus de 464 millions de dollars.

Gracy Chen attribue l'attaque à des acteurs nord-coréens

L'attribution émane de la plateforme elle-même. Gracy Chen, directrice générale de Bitget, rattache l'attaque à des acteurs liés à la Corée du Nord, en invoquant des schémas de comportement et des adresses IP qui correspondraient à des attaques antérieures liées à ce pays. ZachXBT situe les attaquants dans la même direction.

Il s'agit d'une appréciation de la partie lésée et d'un enquêteur, non d'un constat judiciaire ou administratif. Aucune confirmation indépendante n'existe à ce jour, et les acteurs évoqués ne sont pas nommément désignés. Pour l'appréciation des faits, la question de l'origine change de toute façon peu de chose : le déroulement technique et les conséquences sur la traçabilité sont les mêmes.

L'article 79 du règlement européen anti-blanchiment retire les cryptos anonymes des plateformes

Pour vous, investisseur dans l'Union européenne, l'affaire a un prolongement qui dépasse l'actualité. Le règlement européen anti-blanchiment, le règlement (UE) 2024/1624, s'applique à partir du 10 juillet 2027. Son article 79 interdit aux entreprises concernées de tenir des comptes qui dissimulent le titulaire ou les opérations, et il vise expressément les cryptoactifs à anonymat renforcé.

Concrètement, cela signifie que les prestataires agréés dans l'Union ne pourront plus proposer les ZEC ni les actifs comparables. Ce qui disparaît exactement et ce qui subsiste, nous l'avons détaillé dans notre texte sur l'interdiction européenne de négocier le Zcash. Certaines maisons ont pris les devants : Binance a retiré le Monero de son offre en invoquant son orientation réglementaire, et Kraken a restreint l'accès à des actifs comparables dans l'Union.

Ce qu'est un PSAC et pourquoi le terme compte ici

PSAC désigne un prestataire de services sur cryptoactifs, autrement dit un opérateur agréé dans l'Union européenne. Toute plateforme, tout courtier et tout conservateur que vous pouvez utiliser légalement en Europe relève de cette catégorie. Les obligations de l'article 79 visent précisément ces entreprises, et non vous en tant que particulier. Si vous souhaitez comparer les maisons qui travaillent sous supervision européenne, notre panorama des plateformes crypto réglementées vous y aidera.

Le ZEC à 1 284 euros : 13,8 % de baisse en sept jours

Le cours n'a guère réagi à l'information jusqu'ici. Le ZEC cote mercredi midi à 1 284 euros, soit 1 460 dollars, en hausse d'environ 1 % sur une journée. Sur une semaine en revanche, il affiche une baisse de 13,8 %, mesurée en dollars. Zcash se situe ainsi au neuvième rang par capitalisation.

Ces chiffres ne permettent pas d'établir un lien entre le masquage et le cours. La perte hebdomadaire a débuté avant l'information de mercredi, et la quantité de 2 746 ZEC reste faible au regard du volume quotidien échangé. Si vous suivez le cours, lisez le masquage comme une information sur la traçabilité, et non comme un signal d'offre ou de demande.

Les plateformes traitent plus sévèrement les dépôts de ZEC issus d'adresses masquées

C'est ici que l'affaire vous touche concrètement. De nombreux lieux de négociation vérifient l'origine des paiements entrants. Un dépôt dont l'historique ne peut être reconstitué est difficile à classer pour un service de conformité, et un avoir masqué est exactement cela. Certaines maisons n'acceptent donc pas du tout les dépôts provenant d'adresses masquées ; d'autres exigent des justificatifs d'origine avant de libérer l'avoir.

Il en découle une règle de prudence toute simple, sans rapport avec cette attaque et pourtant rendue visible par elle : si vous voulez transférer des ZEC vers une plateforme, établissez au préalable de quel type d'adresse provient votre paiement et si votre prestataire l'accepte. Et si vous retirez des ZEC d'une plateforme, notez l'opération avec la date et le montant tant que la plateforme vous affiche encore les données. Pour documenter les dates d'achat et de vente nécessaires au calcul de la durée de détention, il existe des logiciels fiscaux et outils de suivi qui les enregistrent automatiquement.

La conservation personnelle reste autorisée, la cotation en plateforme non

Un malentendu répandu mérite d'être dissipé à ce stade. La règle européenne applicable à partir de juillet 2027 ne vous interdit pas de détenir du Zcash. Ce qui est interdit, c'est aux prestataires agréés de continuer à le proposer. Détenir, conserver soi-même et transférer directement à une autre personne demeure licite. Ce qui disparaît, c'est la voie commode du compte ouvert chez un prestataire européen.

Qui souhaite conserver des ZEC au-delà de 2027 en arrive donc presque inévitablement à la conservation personnelle. Quel appareil convient, quels modèles prennent en charge le Zcash et à quel prix : tout cela figure dans notre comparatif des portefeuilles matériels. La prise en charge des adresses masquées est ici le point décisif : tous les appareils et tous les logiciels de portefeuille ne savent pas les gérer, et un appareil qui ne connaît que les adresses transparentes vous prive de la propriété même qui fait l'intérêt du Zcash.

Le calendrier est généreux. Juillet 2027, c'est plus de 21 mois, et rien ne presse. En revanche, il y a lieu de ne pas repousser le déménagement aux dernières semaines, car tout le monde arrivera alors en même temps.

Zcash et le pool Ironwood : comment procéder maintenant

1. Établissez où se trouvent vos ZEC et sur quel type d'adresse. Un avoir sur un compte de plateforme ne vous appartient que comme créance sur cette plateforme, et c'est précisément cette créance qui relève de la règle applicable à partir de juillet 2027. Si vous voulez passer à la conservation personnelle, vérifiez dans le comparatif des portefeuilles matériels quel appareil prend en charge les adresses Zcash masquées.
2. Vérifiez sous quelle supervision travaille votre prestataire. Qui se trouve déjà chez une maison agréée dans l'Union est informé tôt et de manière ordonnée des restrictions, le plus souvent avec des délais et une possibilité de conversion. Le panorama des plateformes crypto réglementées indique qui en fait partie.
3. Sauvegardez vos justificatifs d'achat avant de bouger quoi que ce soit. Pour le délai de détention d'un an prévu par l'article 23 de la loi allemande relative à l'impôt sur le revenu, c'est la date d'acquisition qui compte, et un transfert vers votre propre portefeuille n'est pas une vente. Vous devez néanmoins pouvoir le prouver, raison pour laquelle un logiciel fiscal et de suivi de portefeuille devrait importer les données avant le déménagement.

Ce qui restera de mercredi tient de la preuve et non de la conjecture : la voie vers l'espace masqué est ouverte, elle est empruntée, et elle soustrait le montant concerné au suivi par la chaîne. La plus grande partie des ZEC dérobés demeure visible. Pour votre portefeuille, rien ne change aujourd'hui ; pour la question de savoir où vous détiendrez vos ZEC dans deux ans, beaucoup change.

Sources à consulter : le rapport de CoinDesk sur les trois transferts et le texte du règlement (UE) 2024/1624 avec son article 79.

(Au 30 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)