Sélection des leurres dans Monero contre les pools blindés de Zcash : analyse comparative

Deux philosophies de confidentialité radicalement différentes

Monero et Zcash poursuivent le même objectif — protéger la vie privée financière des utilisateurs — mais empruntent des chemins fondamentalement différents pour y parvenir. Monero applique la confidentialité de manière obligatoire et uniforme : chaque transaction sur le réseau utilise automatiquement les mécanismes de protection, sans exception. Zcash propose la confidentialité comme une option facultative, les utilisateurs pouvant choisir entre des transactions transparentes (similaires à Bitcoin) et des transactions blindées (shielded) utilisant des preuves à divulgation nulle.

Cette différence philosophique n'est pas anodine. Elle détermine la taille de l'ensemble d'anonymat effectif, la résistance aux analyses heuristiques et, en fin de compte, le niveau réel de protection offert à chaque utilisateur. Comprendre les mécanismes techniques sous-jacents permet d'évaluer objectivement les forces et les limites de chaque approche.

La distinction entre confidentialité obligatoire et optionnelle crée une asymétrie fondamentale. Lorsque la confidentialité est optionnelle, le simple fait de choisir une transaction protégée constitue un signal observable : pourquoi cet utilisateur ressent-il le besoin de masquer sa transaction ? Ce métasignal, absent dans Monero où toutes les transactions sont identiques, réduit paradoxalement l'anonymat des utilisateurs qui optent pour la protection dans les systèmes à confidentialité optionnelle.

Signatures de cercle et sélection des leurres dans Monero

Le mécanisme central de confidentialité des transactions Monero repose sur les signatures de cercle (ring signatures). Lorsqu'un utilisateur dépense du Monero, il ne signe pas simplement la transaction avec sa clé privée. Au lieu de cela, la signature est construite de manière à ce qu'elle puisse provenir de n'importe quel membre d'un groupe (le « cercle ») composé de l'output réellement dépensé et de plusieurs outputs leurres sélectionnés sur la blockchain. Un vérificateur peut confirmer que l'un des membres du cercle a effectivement signé, mais ne peut pas déterminer lequel.

Depuis le dernier hard fork, Monero impose un cercle de 16 membres : l'output réel plus 15 leurres. Ce chiffre résulte d'un compromis entre confidentialité (plus de membres = plus de candidats = plus d'ambiguïté) et efficacité (plus de membres = transactions plus volumineuses = frais plus élevés). La recherche active sur les Full-Chain Membership Proofs vise à éliminer ce compromis en permettant d'utiliser l'ensemble complet des outputs de la blockchain comme cercle.

La sélection des leurres est un élément critique souvent sous-estimé. Si les leurres étaient sélectionnés de manière uniforme parmi tous les outputs existants, un observateur pourrait exploiter des heuristiques temporelles pour identifier le vrai output. En effet, les outputs dépensés tendent à être relativement récents : un utilisateur dépense généralement des fonds reçus récemment plutôt que des fonds dormant depuis des années. Une sélection uniforme inclurait trop d'outputs anciens comme leurres, trahissant l'output réel comme le plus récent du cercle.

Pour contrer cette faiblesse, Monero utilise un algorithme de sélection de leurres basé sur une distribution gamma qui modélise le comportement réel de dépense. Les leurres sélectionnés suivent une distribution d'âge similaire à celle des outputs réellement dépensés, de sorte qu'un observateur ne peut pas distinguer statistiquement le vrai output des leurres sur la base de leur âge. Ce calibrage est régulièrement ajusté par le Monero Research Lab en fonction des données empiriques observées sur le réseau.

Vulnérabilités connues et améliorations de la sélection des leurres

Malgré les perfectionnements continus, la sélection des leurres dans Monero n'est pas exempte de faiblesses théoriques et pratiques. Les recherches académiques ont identifié plusieurs heuristiques qui peuvent réduire l'anonymat effectif d'une transaction. L'heuristique du plus récent output exploite le fait que, même avec une distribution gamma, l'output le plus récent du cercle est statistiquement plus susceptible d'être le vrai. Des études ont montré que cette heuristique permet d'identifier correctement le vrai output dans un pourcentage significatif des cas.

L'analyse par intersection temporelle constitue une autre faiblesse potentielle. Si un utilisateur effectue plusieurs transactions dans un laps de temps court, un analyste peut croiser les cercles des différentes transactions pour réduire l'ensemble des outputs candidats. Cette technique est particulièrement efficace lorsque les mêmes leurres apparaissent dans plusieurs transactions d'un même utilisateur, un phénomène statistiquement probable avec un cercle limité à 16 membres.

Les outputs empoisonnés représentent une menace plus sophistiquée. Un adversaire disposant de ressources suffisantes peut créer un grand nombre d'outputs sur la blockchain dans le seul but de polluer les ensembles de leurres. Si l'adversaire contrôle une proportion significative des outputs récents, il peut identifier les outputs qu'il ne contrôle pas et donc réduire considérablement l'anonymat des transactions légitimes.

Face à ces défis, le Monero Research Lab a développé et continue de développer des contre-mesures. L'ajustement des paramètres de la distribution gamma, les contraintes d'âge minimum pour les leurres et les recherches sur les FCMP visent à éliminer systématiquement les vecteurs d'attaque identifiés. L'approche est itérative : chaque vulnérabilité découverte alimente une amélioration du protocole.

Les pools blindés de Zcash : fonctionnement et architecture

Zcash utilise une approche radicalement différente fondée sur les zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Arguments of Knowledge). Au lieu de masquer la transaction réelle parmi des leurres, les transactions blindées de Zcash prouvent mathématiquement leur validité sans révéler aucune information sur l'expéditeur, le destinataire ou le montant. La preuve cryptographique garantit que les entrées correspondent aux sorties, que le solde est positif et que l'expéditeur possède les fonds, le tout sans divulguer aucune donnée concrète.

Le pool blindé (shielded pool) est l'ensemble des fonds protégés par cette cryptographie. Lorsqu'un utilisateur envoie des fonds vers le pool blindé (opération de « shielding »), ils deviennent indistinguables de tous les autres fonds dans le pool. Contrairement aux signatures de cercle de Monero où l'anonymat est limité au nombre de leurres, l'ensemble d'anonymat théorique du pool blindé de Zcash correspond à l'intégralité des fonds qu'il contient.

Zcash a connu plusieurs évolutions de ses pools blindés. Le pool Sprout original utilisait les zk-SNARKs de première génération, lents et gourmands en mémoire. Le pool Sapling, déployé en 2018, a considérablement amélioré les performances, rendant les transactions blindées praticables sur des appareils mobiles. Le pool Orchard, basé sur le protocole Halo 2 qui élimine le besoin de trusted setup, représente l'état actuel de la technologie Zcash.

Le problème de la confidentialité optionnelle de Zcash

Le talon d'Achille de Zcash réside dans le caractère optionnel de sa confidentialité. En pratique, la grande majorité des transactions Zcash restent transparentes. Cette réalité crée un ensemble d'anonymat effectif bien inférieur à l'ensemble théorique. Si seulement un faible pourcentage des transactions utilise le pool blindé, les mouvements entrants et sortants du pool sont suffisamment rares pour qu'un observateur attentif puisse établir des corrélations temporelles et volumétriques.

L'analyse des points d'entrée et de sortie du pool blindé constitue une vulnérabilité structurelle. Lorsqu'un utilisateur transfère des fonds du pool transparent vers le pool blindé, puis du pool blindé vers le pool transparent peu de temps après, le montant et le timing peuvent suffire à relier les deux opérations, annulant l'effet du blindage. Cette faiblesse est inhérente à tout système où la confidentialité coexiste avec la transparence.

Zcash a pris des mesures pour encourager l'adoption du pool blindé, notamment en rendant les transactions blindées par défaut dans les portefeuilles récents. Cependant, la rétrocompatibilité avec les transactions transparentes maintient la surface d'attaque. Le projet ZIP-317, qui ajuste les frais pour favoriser les transactions blindées, et les discussions sur la suppression progressive du pool transparent témoignent de la prise de conscience de ce problème au sein de la communauté Zcash.

Comparaison quantitative des ensembles d'anonymat

L'ensemble d'anonymat effectif est la métrique cruciale pour évaluer la confidentialité réelle. Pour Monero, chaque transaction bénéficie d'un ensemble d'anonymat de 16 au premier degré. Ce chiffre peut sembler modeste comparé au pool blindé de Zcash, mais il s'applique à 100 % des transactions. De plus, l'ensemble d'anonymat se compose en cascade : chaque leurre dans un cercle provient d'une transaction antérieure qui avait elle-même un cercle de 16, créant un graphe d'ambiguïté qui s'élargit exponentiellement en remontant dans le temps.

Pour Zcash, l'ensemble d'anonymat théorique est égal à la taille du pool blindé, potentiellement des millions d'outputs. Mais cet ensemble théorique est considérablement réduit par plusieurs facteurs. Premièrement, le faible taux d'utilisation du pool blindé : si seulement 10 % des transactions sont blindées, l'ensemble d'anonymat pratique est réduit d'autant. Deuxièmement, les corrélations temporelles et de montant entre les opérations de shielding et de deshielding réduisent davantage l'anonymat réel. Troisièmement, la diversité limitée des comportements dans le pool blindé facilite le regroupement statistique.

En résumé, Monero offre un anonymat modéré mais garanti et uniforme, tandis que Zcash offre un anonymat potentiellement supérieur mais fragile et dépendant de l'adoption. Pour l'utilisateur ordinaire qui ne prend pas de précautions particulières, Monero offre une meilleure protection par défaut.

Résistance à l'analyse de chaîne et aux attaquants étatiques

Face à des adversaires disposant de ressources considérables — agences de renseignement, sociétés d'analyse de chaîne spécialisées — les deux systèmes présentent des profils de risque différents. Les sociétés d'analyse de chaîne ont développé des outils sophistiqués pour les deux réseaux, mais la nature des données disponibles diffère fondamentalement.

Sur Monero, l'analyse repose sur des méthodes probabilistes et heuristiques. Les analystes peuvent estimer la probabilité qu'un output donné soit le vrai dans un cercle, mais ne peuvent jamais atteindre une certitude. L'accumulation d'heuristiques (âge des outputs, comportements de dépense, timing des transactions) peut réduire l'ambiguïté, mais le caractère obligatoire de la confidentialité signifie que chaque transaction contribue au bruit global du réseau.

Sur Zcash, l'analyse se concentre sur les métadonnées observables autour du pool blindé. Les transactions transparentes sont entièrement traçables. Les mouvements entrants et sortants du pool blindé fournissent des points d'ancrage pour l'analyse. Un adversaire patient peut construire des modèles comportementaux à partir de ces observations périphériques, même sans pouvoir observer directement les transactions à l'intérieur du pool.

L'échange sans KYC : compléter la confidentialité au niveau protocolaire

Ni les signatures de cercle de Monero ni les pools blindés de Zcash ne protègent contre la compromission au point d'acquisition. Si vous achetez des cryptomonnaies sur une plateforme avec vérification d'identité, votre identité est liée à la première transaction, quel que soit le protocole de confidentialité utilisé ensuite. C'est pourquoi l'utilisation d'un service d'échange sans KYC comme MoneroSwapper constitue un complément essentiel à la confidentialité protocolaire.

MoneroSwapper permet d'acquérir du Monero sans lier votre identité à la transaction d'entrée. Combiné avec les mécanismes de confidentialité natifs de Monero, cet échange crée une rupture complète du lien entre votre identité et vos fonds. Cette approche est structurellement plus robuste que l'utilisation de Zcash avec un échange KYC, car même les preuves à divulgation nulle ne peuvent pas effacer les données d'identification déjà collectées par une plateforme centralisée.

Perspectives d'évolution et convergence potentielle

Les trajectoires techniques de Monero et Zcash montrent des signes de convergence partielle. Monero explore les FCMP qui augmenteraient considérablement l'ensemble d'anonymat, rapprochant fonctionnellement le système d'un pool blindé universel. Zcash pousse vers l'adoption généralisée du blindage, tentant de résoudre le problème de la confidentialité optionnelle.

La compétition entre ces deux approches bénéficie à l'ensemble de l'écosystème de la confidentialité. Les recherches menées par le Monero Research Lab et la Electric Coin Company (développeur principal de Zcash) alimentent mutuellement les avancées cryptographiques. Les techniques développées pour l'un peuvent souvent être adaptées à l'autre, et la communauté académique de la cryptographie traite les deux systèmes comme des terrains d'expérimentation complémentaires.

Pour l'utilisateur soucieux de sa confidentialité en 2026, le choix entre Monero et Zcash peut se résumer ainsi : Monero offre une confidentialité robuste, obligatoire et éprouvée, sans nécessité de configuration particulière. Zcash offre un potentiel théorique supérieur, conditionné par une utilisation correcte et un écosystème en cours de maturation. La prudence recommande de privilégier le système dont la confidentialité est garantie plutôt que celui dont elle est théoriquement supérieure mais pratiquement fragile.