Le 29 mai 2026, un ingénieur en sécurité lance Claude Opus 4.8, le tout nouveau modèle d’Anthropic, sur le code de Zcash. Six jours plus tard, le crash Zcash efface plus de 3 milliards de dollars de capitalisation. Retour sur ce krach crypto déclenché par un audit assisté par intelligence artificielle, et sur ce qu’il annonce pour toute l’industrie.
En bref
- Le 5 juin 2026, le crash Zcash a fait chuter le ZEC de 30 à 38 % en 24 heures (jusqu’à ~386 $), effaçant plus de 3 milliards de dollars de capitalisation.
- Déclencheur : la divulgation publique d’une faille de contrefaçon dans le pool blindé Orchard, présente depuis mai 2022 (environ 4 ans).
- La faille a été découverte par l’ingénieur Taylor Hornby à l’aide de Claude Opus 4.8 (Anthropic), en une seule journée, le 29 mai 2026.
- Elle permettait de créer des ZEC contrefaits illimités et indétectables ; il est cryptographiquement impossible de savoir si elle a été exploitée.
- Elle a été corrigée avant la divulgation (soft fork le 2 juin, hard fork NU6.2 le 3 juin 2026).
- Aucun lien avec « Claude Mythos », un autre modèle d’Anthropic souvent confondu avec Opus 4.8.
Le crash Zcash en chiffres
Dans la nuit du 4 au 5 juin 2026, le crash Zcash a frappé : le cours du ZEC a décroché brutalement. En l’espace de 24 heures, le jeton a perdu entre 30 et 38 % de sa valeur selon les fenêtres de mesure, tombant aux alentours de 409-410 dollars après avoir évolué près de 635-640 dollars quelques jours plus tôt. Certaines plateformes ont enregistré un plus bas intraday autour de 386 dollars, et les estimations les plus larges, mesurées de pic à creux sur une fenêtre élargie, parlent d’une chute pouvant atteindre 40 % et plus.
Au total, c’est plus de 3 milliards de dollars de capitalisation qui se sont évaporés. Fait notable relevé par plusieurs observateurs : l’essentiel de la baisse s’est concentré dans les cinq heures qui ont suivi une annonce technique. Pas un tweet de régulateur, pas un piratage en cours, pas une faillite d’exchange. Une divulgation de faille. Et au cœur de cette divulgation, un nom qui n’a rien à faire d’habitude dans un rapport de sécurité crypto : Claude Opus 4.8, le dernier modèle d’IA d’Anthropic, sorti à peine une semaine plus tôt.
CoinDesk sur X : ZEC crashes over 40% after the Orchard bug
Parmi les mouvements les plus commentés, l’investisseur Arthur Hayes (cofondateur de BitMEX) a publiquement liquidé sa position en ZEC dans la foulée de l’annonce, amplifiant le signal baissier auprès de la communauté.
Arthur Hayes sur X : dump de la position ZEC
À retenir : le crash Zcash n’a pas été provoqué par un vol de fonds ni par une attaque réussie. Il a été provoqué par la révélation publique qu’une attaque était possible, et qu’elle l’était depuis quatre ans.
La faille Orchard, expliquée simplement
Pour comprendre l’ampleur de la panique, il faut comprendre la nature de la faille. Et elle était, sur le papier, l’une des pires qu’une cryptomonnaie puisse connaître : une faille de contrefaçon (counterfeiting), autrement dit la possibilité de créer de la monnaie à partir de rien, de façon illimitée et indétectable.
Où se cachait-elle ?
La vulnérabilité se nichait dans Orchard, le pool de transactions « blindées » (shielded) de Zcash, le cœur même de la promesse de confidentialité du projet. Orchard repose sur un système de preuves à divulgation nulle de connaissance (zero-knowledge proofs) appelé Halo2, qui permet de prouver qu’une transaction est valide sans en révéler le contenu (ni l’expéditeur, ni le destinataire, ni le montant).
Le problème : un élément sous-contraint (under-constrained) du circuit Orchard. Concrètement, un composant chargé d’une opération de multiplication sur courbe elliptique (dans la bibliothèque halo2_gadgets) ne vérifiait pas suffisamment ses entrées. Résultat : il était possible de faire passer des entrées arbitraires et fausses à travers cette vérification tout en obtenant une preuve qui, elle, validait parfaitement.
Pourquoi c’était catastrophique
En clair, un attaquant aurait pu produire une preuve cryptographique « valide » attestant qu’il détenait des ZEC qu’il n’a jamais possédés, et donc frapper une quantité illimitée de ZEC contrefaits. Et parce que cette monnaie aurait circulé dans le pool blindé, conçu précisément pour être opaque, il aurait été cryptographiquement impossible de distinguer les ZEC légitimes des faux.
C’est le double tranchant de la confidentialité : ce qui protège la vie privée des utilisateurs rend aussi une contrefaçon potentiellement invisible et non auditable.
Quatre ans d’exposition
Le plus vertigineux : selon le forum officiel de la communauté Zcash, la faille était présente depuis l’activation d’Orchard, en mai 2022, soit environ quatre ans. Pendant tout ce temps, le réseau a fonctionné avec cette porte dérobée mathématique ouverte, sans que personne ne s’en aperçoive.
Et ici intervient la question qui hante tout le monde : a-t-elle été exploitée ? La réponse, glaçante, est qu’on ne peut pas le savoir. La nature même du pool blindé rend impossible toute vérification a posteriori : il n’existe aucun moyen cryptographique de prouver qu’aucun ZEC contrefait n’a été créé durant ces quatre années. C’est précisément cette incertitude (plus que la faille elle-même, désormais corrigée) qui a nourri la défiance du marché.
L’audit IA de Taylor Hornby
Le héros (ou le déclencheur, selon le point de vue) de cette affaire est Taylor Hornby, ingénieur en sécurité réputé, mandaté par Shielded Labs en avril 2026 pour conduire un audit du protocole Zcash.
La chronologie est ce qui rend cette histoire si emblématique de l’année 2026 :
- 28 mai 2026 : Anthropic publie Claude Opus 4.8, un nouveau modèle public, accessible à tous.
- 29 mai 2026 (soit le lendemain), Taylor Hornby branche Opus 4.8 sur un framework d’audit maison (un « agent » d’audit personnalisé qu’il a développé), et le lance sur une revue ciblée du circuit Orchard.
- Fin de journée, le 29 mai : l’IA a localisé la vulnérabilité. Hornby a alors écrit un exploit fonctionnel complet et vérifié, dans un environnement de test local, qu’il générait effectivement des ZEC contrefaits en quantité illimitée.
Autrement dit : une faille restée invisible pendant quatre ans aux yeux des cryptographes, des auditeurs et de la communauté open source a été débusquée en une seule journée, le lendemain de la sortie du modèle, par un humain outillé d’une IA.
Wu Blockchain sur X : Zooko confirme la découverte de Taylor Hornby
Une nuance cruciale : c’est Opus 4.8, pas « Claude Mythos »
Il faut ici couper court à une confusion massive qui a circulé dans la presse et sur les réseaux. Beaucoup ont attribué la découverte à « Claude Mythos », un autre modèle d’Anthropic qui faisait parler de lui au printemps 2026. C’est faux.
Le modèle utilisé par Hornby est Claude Opus 4.8, un modèle public et généraliste, sorti le 28 mai. Claude Mythos est une affaire entièrement distincte : il s’agit d’un modèle d’Anthropic spécialisé en cybersécurité, révélé par une fuite accidentelle en mars 2026, et maintenu en accès ultra-restreint (via un dispositif baptisé « Project Glasswing ») précisément par crainte qu’il ne serve à des cyberattaques. Mythos n’a jamais été impliqué dans le crash de Zcash.
D’où vient la confusion ? De deux coïncidences. D’une part, Anthropic est présent dans les deux récits. D’autre part, et c’est presque comique, Mythos avait, de son côté, fait plonger des actions de cybersécurité en Bourse, dont celle de Zscaler (ticker ZS)… phonétiquement très proche de Zcash (ZEC). Deux « Z », deux krachs, un même mois : le télescopage était inévitable.
Le point clé : ce n’est pas un mystérieux bot IA autonome qui a « attaqué » Zcash. C’est un chercheur en sécurité humain, dans un cadre défensif et mandaté, qui s’est servi d’un outil d’IA grand public pour faire son travail, beaucoup plus vite et beaucoup mieux.
Le patch d’urgence : une course contre la montre
Une fois la faille confirmée, la divulgation a été gérée selon les règles de l’art de la divulgation responsable : corriger d’abord, annoncer ensuite. Et l’équipe a agi vite.
- 2 juin 2026 : déploiement d’un soft fork d’urgence (activé au bloc 3 363 426) pour neutraliser immédiatement le vecteur d’attaque.
- 3 juin 2026 : activation d’un hard fork permanent, baptisé NU6.2, pour corriger durablement le circuit Orchard.
- 4-5 juin 2026 : divulgation publique de la vulnérabilité et de son correctif. C’est cette annonce qui a déclenché le crash Zcash.
Le paradoxe est cruel : au moment où le marché a paniqué, la faille était déjà corrigée. Le réseau était de nouveau sûr. Mais la révélation que le bug avait existé (et l’impossibilité de garantir qu’il n’avait jamais été exploité pendant quatre ans) a suffi à faire fuir les investisseurs.
C’est un schéma classique mais douloureux : la transparence, qui est une vertu en sécurité, est souvent punie par les marchés à court terme. Une équipe qui divulgue honnêtement une faille corrigée est sanctionnée, là où le silence aurait (provisoirement) préservé le cours.
Ce que le crash Zcash dit de l’avenir de la crypto
Au-delà de Zcash, l’épisode du 5 juin 2026 fonctionne comme un signal d’alarme pour toute l’industrie. Voici les leçons qui s’imposent.
1. L’audit assisté par IA change d’échelle
Pendant des années, l’audit de code, surtout de cryptographie avancée comme les circuits zero-knowledge, était l’apanage d’une poignée d’experts mondiaux, mobilisés pendant des semaines. L’affaire Zcash démontre qu’un modèle généraliste grand public, correctement orchestré dans un framework d’audit, peut égaler ou dépasser ces experts sur certaines tâches, et en une fraction du temps.
Cela veut dire deux choses, indissociables : côté défense, les projets sérieux vont intégrer l’IA dans leur pipeline de sécurité, ne pas le faire deviendra une négligence ; côté attaque, les mêmes outils alimentent un nouveau champ de bataille des cyberattaques. La fenêtre entre « une faille existe » et « une faille est trouvée » se réduit drastiquement, pour tout le monde.
2. La confidentialité a un coût de transparence
Les protocoles de confidentialité (Zcash, Monero et consorts) reposent sur une opacité voulue. Mais cette opacité signifie qu’une faille de contrefaçon y est, par construction, indétectable. Là où sur Bitcoin une inflation anormale se verrait à l’œil nu dans la blockchain publique, sur un pool blindé elle reste invisible. Le marché vient de prendre conscience, en direct, de cette dette de confiance structurelle.
3. La « dette technique cryptographique » est réelle
Quatre ans. C’est le temps pendant lequel une faille critique est passée sous les radars dans un projet pourtant réputé pour la rigueur de ses cryptographes. Combien d’autres protocoles, DeFi compris, hébergent des bombes à retardement comparables dans des circuits que personne n’a jamais réussi à auditer exhaustivement ? L’arrivée d’auditeurs IA va probablement exhumer une vague de vulnérabilités anciennes dans les mois qui viennent, et chaque exhumation pourra provoquer son propre mini-crash.
4. Le dilemme de la divulgation va s’intensifier
Si annoncer honnêtement une faille corrigée fait perdre 38 % en une nuit, quelle incitation reste-t-il à la transparence ? L’industrie va devoir repenser ses protocoles de communication de crise, sous peine de pousser certains projets vers le secret, l’exact inverse de ce qu’exige la sécurité.
Conclusion : un crash qui n’en est pas vraiment un
Le plus ironique, dans ce crash Zcash, c’est qu’il sanctionne une réussite de la sécurité, pas un échec. La faille a été trouvée par les « gentils ». Elle a été corrigée avant toute exploitation connue. Le réseau est plus sûr aujourd’hui qu’il ne l’était la semaine précédente. Et pourtant le marché a voté avec ses pieds.
Mais l’essentiel est ailleurs. Le 5 juin 2026 restera peut-être comme la date à laquelle l’industrie crypto a compris que l’audit de sécurité venait de changer de nature. L’intelligence artificielle n’est plus un gadget : c’est désormais un acteur central de la découverte de vulnérabilités, capable de faire en un jour ce qui prenait des années. Pour les défenseurs comme pour les attaquants.
La vraie question n’est donc plus « est-ce que l’IA va trouver les failles ? ». Elle les trouve déjà. La question est : qui les trouvera en premier ?
Questions fréquentes (FAQ)
Pourquoi le cours du Zcash (ZEC) s’est-il effondré ?
Le ZEC a chuté de 30 à 38 % le 4-5 juin 2026 après la divulgation publique d’une faille de contrefaçon vieille de quatre ans dans son pool blindé Orchard. Ce n’est pas un piratage : c’est la révélation que la faille avait existé, et l’impossibilité de prouver qu’elle n’a jamais été exploitée, qui ont fait fuir les investisseurs.
Est-ce que « Claude Mythos » a causé le crash de Zcash ?
Non. La vulnérabilité a été trouvée avec Claude Opus 4.8, un modèle public d’Anthropic. Claude Mythos est un autre modèle, spécialisé en cybersécurité et maintenu en accès restreint ; il n’a jamais été impliqué dans l’affaire Zcash. La confusion vient de la proximité des noms et de la présence d’Anthropic dans les deux récits.
Qu’est-ce que la faille du pool Orchard de Zcash ?
Un élément sous-contraint du circuit Orchard (une vérification de multiplication sur courbe elliptique dans la bibliothèque halo2_gadgets) acceptait des entrées fausses tout en produisant une preuve valide. Concrètement, il devenait possible de frapper une quantité illimitée de ZEC contrefaits, indétectables dans le pool blindé.
La faille de Zcash a-t-elle été exploitée ?
On ne peut pas le savoir. La nature blindée d’Orchard rend cryptographiquement impossible de prouver, a posteriori, qu’aucun ZEC contrefait n’a été créé entre l’activation d’Orchard (mai 2022) et le correctif de juin 2026. C’est cette incertitude qui a le plus inquiété le marché.
Quel modèle d’IA a découvert la vulnérabilité ?
Claude Opus 4.8, sorti le 28 mai 2026, utilisé par l’ingénieur en sécurité Taylor Hornby (mandaté par Shielded Labs) au sein d’un framework d’audit personnalisé. Il a localisé la faille et écrit un exploit fonctionnel en une journée.
✍️ Article co-écrit par Camille Roussel (crypto & blockchain) et Thomas Lefèvre (cybersécurité & sécurité de l’IA), pour la rédaction d’AI Explorer.
Sources principales : forum officiel de la communauté Zcash, The Block, Unchained, BeInCrypto, TechTimes, CoinDesk, Decrypt. Article rédigé le 5 juin 2026 ; les chiffres de cours sont des instantanés d’un marché en mouvement rapide et ont pu évoluer depuis. Cet article ne constitue pas un conseil en investissement.
