Patch critique pour Decred : ceux qui ne mettent pas à jour risquent un fork de réseau

Decred a publié un patch obligatoire pour corriger une vulnérabilité critique du consensus réseau. Le patch critique pour Decred, identifié comme version v2.1.6, bloque également une possible attaque périodique de dé-anonymisation dans le système de mélange des transactions et ferme plusieurs failles qui pouvaient exposer le réseau à des attaques par déni de service. L'annonce est arrivée le 19 août via un post sur X du projet, qui a invité tous les utilisateurs à mettre à jour dès que possible.

La version 2.1.6 intervient sur dcrd, le logiciel full-node de Decred, avec des modifications parallèles également publiées pour dcrwallet. Decred a classé le problème de consensus comme une vulnérabilité "critique", signalant que le non-actualisation peut faire fonctionner les nœuds sur un fork de réseau séparé. Le projet n'a pas diffusé de détails techniques permettant de reconstruire étape par étape comment exploiter la faille, mais a insisté sur la nécessité d'une mise à jour large et rapide.

Le paquet a été contribué par Dave Collins, Jamie Holdstock et Josh Rickmar, avec 23 commits sur 20 fichiers. Au moment de l'annonce sur X, la version Windows de Decrediton n'était pas encore disponible, mais la page GitHub de la v2.1.6 liste désormais les paquets pour Linux, macOS et Windows. Ceux qui téléchargent le logiciel peuvent vérifier les fichiers via des hash SHA-256 et les signatures correspondantes fournies par Decred.

L'obligation de mise à jour concerne en particulier les parties prenantes individuelles, les fournisseurs de services de vote, les mineurs proof-of-work et les échanges qui gèrent des infrastructures réseau. Ceux qui restent sur des versions antérieures risquent de se retrouver isolés sur une branche différente de la blockchain, avec des conséquences opérationnelles directes sur la validité de leurs transactions et sur leur participation au consensus.

Le cœur le plus délicat du patch concerne le système de mélange de Decred, basé sur le protocole CoinShuffle++, actif sur la mainnet depuis 2019. Les modifications apportées à dcrwallet mettent à jour le protocole mixclient et augmentent la version de pairing utilisée pour établir la compatibilité entre les participants aux sessions de mélange, empêchant ainsi une possible attaque de dé-anonymisation.

En conséquence directe, les portefeuilles mis à jour vers la v2.1.6 ne pourront plus effectuer de mélange avec des versions antérieures, et vice versa. Decred demande donc à tous les utilisateurs de dcrwallet de passer à la nouvelle version pour continuer à participer aux sessions. Les développeurs ont également corrigé un problème d'attribution des fautes entre les pairs impliqués dans le mélange : auparavant, un pair qui lançait incorrectement l'accusation pouvait éviter d'être lui-même pénalisé. La suppression des messages du mixpool une fois qu'une session était écoulée a également été résolue.

En plus du mélange, le patch introduit des contrôles plus stricts sur la gestion des transactions reçues du réseau. Le portefeuille mis à jour refuse d'enregistrer une transaction si la vérification de la signature échoue pour les sorties de sa propriété dépensées, et déconnecte les pairs SPV qui annoncent des transactions avec des entrées apparemment référées au portefeuille mais avec des scripts de signature non valides. La validation du Merkle-root, auparavant absente, a également été ajoutée pour les blocs traités en mode SPV.

Ces corrections s'ajoutent aux correctifs au niveau du réseau contre les attaques par déni de service inclus dans dcrd v2.1.6. Les notes de version ne précisent pas si les vulnérabilités identifiées ont effectivement été exploitées avant la publication du patch.

Les fonctionnalités de confidentialité ont maintenu DCR au centre des discussions sur les cryptos orientées vers l'anonymat. Lors d'un rallye de janvier 2026 dédié aux tokens de confidentialité, DCR a gagné environ 60 % en sept jours, dans un contexte de demande croissante également pour Monero, Dash et d'autres actifs similaires.

Le traitement réservé par les échanges à ces actifs reste hétérogène : Binance, après avoir annoncé la suppression de certaines cryptos liées à la confidentialité en Europe en 2023, a ensuite fait marche arrière, laissant disponibles Decred, Dash, Zcash, PIVX, Navcoin, Secret et Verge en France, en Italie, en Pologne et en Espagne, tandis que des restrictions restent actives sur d'autres actifs. Du côté logiciel, la documentation de Decred précise que les portefeuilles mobiles ne supportent pas le mélange ni la participation proof-of-stake, fonctions réservées aux versions desktop.