Zilliqa a interrompu toutes les transactions natives après qu’une faille de sécurité critique ait été découverte dans son application Ledger — un bug qui était présent, discrètement, depuis 2019.
La vulnérabilité implique une exposition des clés privées lors des processus de signature sur la chaîne. C’est pratiquement le pire scénario possible pour toute plateforme blockchain. Les clés privées sont les mots de passe maîtres de la crypto. Celui qui les détient contrôle les fonds. Et si un processus de signature de transaction divulgue ces clés sur la chaîne, chaque utilisateur ayant signé quoi que ce soit via l’application Ledger pourrait théoriquement être à risque. Zilliqa a rapidement arrêté toutes les transactions natives une fois que la faille a été révélée en 2026 — sept ans après que le bug ait été introduit dans le code sans que personne ne le détecte.
Sept ans. Non détecté.
Ce que le bug fait réellement
La faille se trouve dans l’application Ledger de Zilliqa et est spécifiquement liée à la façon dont l’application gère les clés privées lors du processus de signature. Lorsqu’un utilisateur signe une transaction sur la chaîne, le bug peut exposer ces clés privées — ce qui signifie qu’elles ne restent pas du tout privées. Les portefeuilles matériels Ledger sont censés être la référence en matière de sécurité crypto, l’idée étant que les clés privées ne quittent jamais l’appareil. Un bug qui compromet cela au niveau logiciel est un problème sérieux, pas une simple question de correctif mineur.
Zilliqa n’a pas donné de détails techniques sur la manière dont l’exposition se produit, et aucun détail supplémentaire n’a encore été révélé concernant le fait que des fonds aient effectivement été drainés ou accédés sans autorisation. Cela reste flou. Mais l’entreprise a clairement décidé qu’il ne valait pas la peine d’attendre pour le découvrir.
L’arrêt couvre toutes les transactions natives sur la plateforme. Les utilisateurs qui dépendent de l’application Ledger pour déplacer leurs ZIL ou interagir avec le réseau Zilliqa ne peuvent pas le faire actuellement. Point final. Aucune solution de contournement n’a été annoncée, aucun correctif partiel, aucun mode de fonctionnalité limitée. Tout est gelé pendant que l’équipe travaille sur une solution.
Aucun calendrier, aucun nombre d’utilisateurs
Zilliqa n’a pas précisé combien d’utilisateurs sont affectés. C’est un manque qui frustrera probablement la communauté. La plateforme n’a pas non plus donné de calendrier pour le retour à la normale des opérations. Pas de date, pas d’estimation, pas de « nous espérons résoudre cela dans X jours. » Rien. Les utilisateurs attendent essentiellement et surveillent les canaux officiels pour des mises à jour.
Ce genre de silence a tendance à rendre les communautés crypto anxieuses — et honnêtement, c’est compréhensible. Quand vous ne pouvez pas déplacer vos actifs et que l’entreprise ne dit pas quand vous pourrez à nouveau, c’est une situation difficile. L’équipe de Zilliqa semble concentrée sur la bonne résolution du problème plutôt que de précipiter un calendrier, ce qui est peut-être la meilleure décision, mais cela ne rend pas l’attente plus facile.
Et le fait que le bug soit vieux de sept ans soulève son propre ensemble de questions inconfortables. Des audits de sécurité ont lieu. Les mises à jour de l’application Ledger ont lieu. Comment quelque chose d’aussi sérieux a-t-il pu rester enfoui aussi longtemps ? Zilliqa n’a pas encore abordé cela directement.
Enjeux plus larges pour la sécurité blockchain
Des bugs qui restent dormants pendant des années ne sont pas inconnus dans la crypto. L’écosystème évolue rapidement, les bases de code s’empilent sur du code plus ancien, et parfois un défaut ne se manifeste que lorsque quelqu’un regarde la bonne chose de la bonne manière. Mais cela ne le rend pas moins dommageable lorsqu’il est découvert.
La sécurité des clés privées est fondamentalement la base sur laquelle tout le reste repose. Si cette couche se fissure, peu importe la qualité du reste du protocole. La décision de Zilliqa d’arrêter les transactions plutôt que de continuer à fonctionner en espérant que personne n’exploitera le bug avant qu’un correctif ne soit mis en place — c’est la bonne décision. Garder les fonds à risque tout en corrigeant discrètement en arrière-plan aurait été bien pire si une exploitation avait eu lieu entre-temps.
L’industrie crypto plus large a déjà fait face à des situations similaires. Les bugs de contrats intelligents, les vulnérabilités des portefeuilles, les exploits de signature — ils ont tendance à frapper fort et rapidement lorsqu’ils sont enfin remarqués. La réponse de Zilliqa, au moins en termes de rapidité, semble avoir été immédiate une fois la découverte faite.
Cependant, la plateforme doit bientôt fournir quelque chose de plus concret aux utilisateurs. Un calendrier approximatif. Une image plus claire de qui est exposé et comment. Quelques conseils sur les étapes intermédiaires que les utilisateurs devraient prendre pour se protéger au-delà de simplement ne pas effectuer de transactions. Pour l’instant, la communauté travaille avec très peu d’informations.
Zilliqa a déclaré qu’elle travaille sur un correctif et publiera des mises à jour à mesure que plus d’informations seront disponibles. Aucun détail sur ce à quoi ressemble ce correctif, comment il sera déployé, ou ce que les utilisateurs devront faire de leur côté une fois qu’il sera prêt.
Le bug date de 2019, a été détecté en 2026, et les transactions natives restent suspendues.
Questions Fréquentes
Que fait Zilliqa après avoir découvert le bug de l’application Ledger ?
Zilliqa a suspendu toutes les transactions natives pour prévenir une possible exploitation d’une vulnérabilité qui expose les clés privées via des signatures sur la chaîne.
Combien de temps le bug de l’application Ledger de Zilliqa est-il resté non détecté ?
Le bug a été introduit en 2019 et est resté non détecté jusqu’en 2026 — environ sept ans sans être découvert.
