Hackers Déplacent Fonds Volés Vers Zcash Selon Onchain

Imaginez un coffre-fort numérique capable d’effacer presque toute trace une fois la porte refermée. C’est exactement ce que plusieurs enquêteurs onchain disent observer en ce moment : des sommes volées lors de trois incidents distincts rejoignent progressivement le réseau Zcash. Les montants ne sont pas tous quantifiés, mais le schéma se répète assez pour attirer l’attention de la communauté. Derrière ces mouvements se dessine une stratégie classique des acteurs malveillants : sortir les fonds d’un environnement traçable pour les placer dans un espace où l’opacité devient la norme.

Pourquoi Zcash attire soudainement ces fonds suspects

La question n’est pas anodine. Zcash n’est pas le plus médiatique des réseaux, ni le plus liquide. Pourtant, ses fonctionnalités de confidentialité en font une destination de choix lorsqu’il s’agit de rendre plus difficile le suivi des flux. Les dernières observations d’analystes indépendants montrent que des avoirs liés à des incidents de sécurité récents y entrent, parfois après plusieurs étapes de conversion.

Le point de départ le plus documenté reste le piratage de Bitget survenu fin septembre. L’exchange a lui-même reconnu un préjudice d’environ 387,5 millions de dollars après avoir affiné ses calculs initiaux. Parmi les actifs touchés figuraient notamment des ZEC, ce qui a immédiatement attiré l’œil des traqueurs de fonds. ZachXBT a ensuite signalé le transfert d’environ 2 700 ZEC vers le pool protégé Ironwood, une opération valorisée autour de 3,8 millions de dollars au moment des faits.

Les dépôts dans le pool Ironwood sont visibles à l’entrée, mais ce qui se passe ensuite échappe largement au regard public.

Synthèse des observations onchain récentes

Trois incidents, un même schéma de sortie

Specter, un autre enquêteur suivi de près, a élargi le tableau. Selon ses publications, des fonds associés à l’incident Cryptobills Ledger et à l’exploit Triple-A d’environ 12 millions de dollars auraient également rejoint Zcash. Aucun montant précis n’a été publié pour ces deux derniers cas, et aucune preuve transactionnelle complète n’a été partagée publiquement. Cette absence de détails laisse planer un doute raisonnable sur l’ampleur exacte, mais le signal est suffisamment fort pour être pris au sérieux.

Ce qui frappe, c’est la diversité apparente des acteurs. Rien n’indique pour l’instant qu’un seul groupe soit derrière les trois affaires. Plusieurs adresses semblent impliquées, ce qui complique encore davantage le travail de traçage. Une fois les fonds entrés dans le pool blindé, la capacité à suivre leur destin devient extrêmement limitée pour les observateurs extérieurs.

Ironwood : un pool conçu pour la confidentialité, pas pour le blanchiment

Il est important de rappeler le contexte technique. Le pool Ironwood n’a pas été lancé pour aider quiconque à dissimuler des fonds illicites. Il résulte d’une mise à niveau de sécurité. Une vulnérabilité identifiée dans le système Orchard précédent aurait pu permettre la création de pièces contrefaites sans détection immédiate. Les développeurs ont donc restreint certains transferts depuis l’ancien pool et créé Ironwood avec des protections cryptographiques actualisées. L’objectif principal était de garantir que l’offre circulante reste vérifiable de manière indépendante.

Cette nuance compte. Les fonctionnalités de confidentialité de Zcash existent depuis longtemps et servent principalement des utilisateurs légitimes soucieux de protéger leur vie privée financière. Comme toute technologie à double usage, elles peuvent aussi être détournées. Les observations d’octobre 2026 ne révèlent donc pas une faille nouvelle d’Ironwood, mais plutôt l’utilisation opportuniste d’outils déjà disponibles.

Les dépôts dans un pool blindé restent souvent repérables à l’entrée. C’est précisément ce que les enquêteurs exploitent. Une fois à l’intérieur, en revanche, les montants, les destinataires et les chemins deviennent opaques. Cette asymétrie explique pourquoi les analystes peuvent signaler des entrées sans pouvoir affirmer où se trouvent réellement les fonds aujourd’hui.

Retour sur le piratage Bitget et ses suites immédiates

L’incident du 24 septembre a touché des portions de l’infrastructure de wallets chauds et tièdes de Bitget. L’exchange a d’abord communiqué un chiffre autour de 351,6 millions de dollars avant de le réviser à la hausse. L’écart de près de 36 millions s’explique par l’inclusion d’actifs sur Zcash et TRON initialement non comptabilisés, et non par une seconde vague de vols.

Les investigations menées par SlowMist et Mandiant ont pointé vers des produits de sécurité tiers compromis ayant permis un accès non autorisé à l’environnement des wallets. Bitget a insisté sur le fait que les wallets froids et les clés privées n’avaient pas été touchés. Les soldes clients étaient présentés comme protégés grâce au fonds de protection des utilisateurs, rapidement reconstitué au-delà de 300 millions de dollars. Une preuve de réserves publiée peu après montrait un ratio combiné de 131 % sur 19 actifs couverts.

Parallèlement, l’exchange a mis en place un programme de primes pour encourager le gel et la récupération des fonds. Cinq pour cent des montants gelés et cinq pour cent des montants effectivement récupérés pouvaient être versés aux contributeurs éligibles, hors actions menées sous contrainte judiciaire ou policière. Les adresses identifiées ont été partagées avec des entreprises de sécurité, des projets blockchain et d’autres acteurs susceptibles d’aider.

Des tentatives de dissimulation antérieures déjà repérées

Avant même les mouvements vers Zcash, d’autres techniques avaient été observées. AMLBot avait par exemple signalé environ quatre bitcoins liés à l’incident Bitget entrant dans une transaction CoinJoin via Wasabi. D’autres traces montraient la conversion d’environ 2 390 ETH en 75,2 BTC via THORChain, pour une valeur alors estimée à 6,3 millions de dollars. Ces étapes illustrent une stratégie de fragmentation et de mélange classique.

Bitget avait demandé à THORChain de restreindre certaines adresses. Les opérateurs du réseau avaient rappelé que leurs contrôles d’urgence permettaient de suspendre l’activité globale mais non de bloquer sélectivement un utilisateur. Cette limite technique a laissé une fenêtre d’opportunité aux attaquants.

Chaque couche de mélange ou de conversion ajoute du bruit. Le véritable défi commence lorsque les fonds atteignent un environnement conçu pour rester silencieux.

Ce que les données onchain permettent réellement de voir

Les analystes travaillent avec des outils publics et des heuristiques éprouvées. Ils peuvent repérer des clusters d’adresses, des schémas de financement, des timings suspects et des dépôts dans des pools protégés. Ce qu’ils ne peuvent généralement pas faire, c’est suivre le chemin exact une fois les fonds blindés. Cette limite est inhérente à la conception de Zcash et constitue précisément l’attrait pour certains acteurs.

Dans le cas présent, les références de transactions fournies par ZachXBT permettent de valider les dépôts identifiés. Elles ne disent rien sur la suite. Specter a quant à lui élargi le périmètre sans publier de piste complète pour Cryptobills Ledger et Triple-A. Cette prudence méthodologique est saine : mieux vaut signaler un faisceau d’indices que d’affirmer des certitudes non démontrées.

Un mois de septembre particulièrement coûteux pour l’écosystème

Le piratage Bitget s’inscrit dans un mois déjà marqué par des pertes importantes. Selon des agrégats publiés début octobre par PeckShield et CertiK, septembre a vu entre 766 et 768 millions de dollars affectés selon les méthodes de calcul. Ces totaux incluent des montants bruts, parfois partiellement récupérés par la suite. L’incident Bitget représente à lui seul une part significative de ce total, ce qui explique l’attention soutenue qu’il continue de recevoir.

Ce contexte plus large rappelle que les attaques contre les infrastructures d’échange et de garde restent l’un des risques structurels majeurs du secteur. Même lorsque les wallets froids sont épargnés, la compromission de composants tiers peut suffire à ouvrir une brèche coûteuse.

Les limites de la traçabilité et les espoirs de récupération

Bitget a rendu publiques des adresses sur plusieurs réseaux et mis en place un tableau de bord de suivi mis à jour au fur et à mesure des découvertes. L’exchange encourage les dépositaires, les émetteurs de stablecoins et les plateformes de trading à signaler toute information pertinente. Cette approche collaborative est devenue standard dans les affaires de grande envergure.

Pour les fonds déjà entrés dans Ironwood, les perspectives de récupération directe apparaissent plus minces. Les autorités et les entreprises spécialisées peuvent encore travailler sur les étapes antérieures au blindage, sur d’éventuelles sorties futures, ou sur des coopérations avec des services qui interagiront un jour avec ces avoirs. Rien n’est garanti, et les délais peuvent s’étirer sur des mois, voire des années.

Vie privée légitime versus usage détourné

Chaque fois qu’un incident de ce type survient, le débat sur les monnaies à confidentialité renforcée ressurgit. Il mérite d’être mené avec nuance. Des millions d’utilisateurs légitimes apprécient la possibilité de ne pas exposer l’intégralité de leur historique financier à quiconque dispose d’un explorateur de blocs. Dans le même temps, ces mêmes outils compliquent le travail des enquêteurs lorsqu’ils sont utilisés après un vol.

Zcash a toujours revendiqué une approche équilibrée : confidentialité par défaut ou optionnelle selon les versions, avec des mécanismes permettant dans certains cas une divulgation sélective. L’activation d’Ironwood s’inscrit dans cette lignée. Elle ne change pas fondamentalement la nature du protocole ; elle en renforce la robustesse cryptographique après un incident de sécurité interne.

Les régulateurs et les plateformes d’échange continuent d’adapter leurs politiques. Certains services restreignent ou interdisent purement et simplement les dépôts et retraits de monnaies privées. D’autres maintiennent un accès sous conditions de conformité renforcées. Ces choix influenceraient probablement le comportement des acteurs malveillants à moyen terme, sans pour autant éliminer complètement les options de dissimulation.

Ce que ces mouvements disent de la maturité du secteur

La capacité des enquêteurs indépendants à repérer rapidement des clusters d’adresses et à relier des incidents distincts témoigne d’une professionnalisation réelle de l’analyse onchain. ZachXBT, Specter et d’autres acteurs ont construit des réputations solides en publiant des pistes vérifiables. Leur travail complète celui des entreprises de cybersécurité et des équipes internes des exchanges.

Parallèlement, la persistance des techniques de mélange, de conversion inter-chaînes et de blindage montre que les attaquants s’adaptent aussi. Chaque amélioration des outils de traçage provoque une réponse en matière d’opacité. Cette course permanente n’est pas nouvelle ; elle s’intensifie simplement à mesure que les montants en jeu augmentent.

Pour les utilisateurs ordinaires, la leçon reste pragmatique. La diversification des modalités de stockage, la prudence face aux services tiers, et la vigilance sur les permissions accordées aux applications restent les meilleures défenses individuelles. Aucun protocole, aussi sécurisé soit-il, ne peut compenser une compromission en amont de l’infrastructure de garde.

Perspectives et questions encore ouvertes

À l’heure actuelle, plusieurs zones d’ombre subsistent. Le volume exact des fonds Cryptobills Ledger et Triple-A entrés dans Zcash n’est pas public. On ignore si les mêmes adresses ou les mêmes opérateurs sont impliqués dans plusieurs affaires. On ne sait pas non plus si une partie des fonds a déjà tenté de sortir du pool blindé ou si elle y demeure en attente.

Bitget poursuit son enquête et son programme de récupération. D’autres acteurs de la sécurité continuent de scanner les chaînes. Les prochains jours et semaines pourraient apporter des éléments supplémentaires, ou au contraire confirmer que certains flux se sont durablement estompés dans l’opacité d’Ironwood.

Ce qui est déjà clair, c’est que les fonctionnalités de confidentialité de Zcash restent pleinement opérationnelles et qu’elles continuent d’attirer l’attention, pour le meilleur et pour le pire. Les utilisateurs légitimes y trouvent une protection de leur vie privée. Certains acteurs aux intentions moins nobles y voient une étape supplémentaire dans une chaîne de dissimulation. Les deux usages coexistent, et cette coexistence restera probablement un sujet de discussion durable dans l’écosystème.

En attendant d’éventuelles nouvelles révélations, le message adressé à l’ensemble du marché est simple : la transparence onchain a ses limites, et ces limites sont précisément ce qui rend certains réseaux attractifs après un incident majeur. Suivre les fonds jusqu’à la porte d’entrée d’un pool blindé est déjà un exploit. Passer cette porte reste, pour l’instant, hors de portée de la plupart des regards.

Les prochaines publications des enquêteurs indépendants et les mises à jour éventuelles de Bitget diront si de nouvelles pistes émergent. En attendant, les données onchain continuent de raconter une histoire inachevée, celle de millions de dollars qui ont quitté des environnements relativement ouverts pour rejoindre un espace conçu pour rester discret. La suite de cette histoire s’écrit encore, transaction après transaction, dans le silence relatif d’un réseau pensé pour la confidentialité.