PDG de Zilliqa démissionnaire : le conseil reprend la main, X-Bridge reste fermé

Alexander Zahnd a quitté la direction de Zilliqa « à sa demande », a annoncé l’entreprise mardi soir dans un fil publié sur X à 16 h 51 UTC le 27 octobre. Le conseil d’administration prend la supervision directe, aidé par un cabinet extérieur spécialisé en cybersécurité et en gouvernance, jusqu’à la nomination d’un dirigeant permanent.

Mercredi 28 octobre à la mi-journée, l’entreprise n’avait rien ajouté : pas de directeur général par intérim, pas de montant de pertes, pas de nouveau billet sur son blog. X-Bridge, le pont inter-chaînes de Zilliqa, reste suspendu, sans que la société précise depuis quand. Selon PlunderSwap, les exploitations qui ont vidé des pools du réseau ont commencé dans la soirée du 22 octobre.

Zilliqa n’explique pas ce départ au-delà de la demande du dirigeant, et le fil ne le relie pas aux incidents. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il ne nomme pas non plus l’auteur de l’attaque ni la cause racine. Il énumère en revanche ce qui est touché : X-Bridge et les contrats proxy ZRC2 utilisés par certains pools de liquidité, dont ceux de PlunderSwap. Quatre jetons sont concernés : zUSDT, SEED, kUSD et Zoge. Le ZIL natif et le réseau Zilliqa EVM ne sont pas affectés, assure la société.

Les utilisateurs doivent s’abstenir de toucher à X-Bridge et aux pools concernés jusqu’à nouvel ordre. Zilliqa indique faire tourner toutes ses clés opérationnelles et travailler avec les plateformes d’échange et les forces de l’ordre.

Le fil ayant été publié en soirée, heure européenne, l’essentiel de la couverture a suivi dans la nuit et mercredi matin. Les médias chinois PANews et Foresight News l’ont relayé pendant la matinée asiatique ; The Defiant rapporte que X-Bridge est fermé dans les deux sens et que PlunderSwap fait état de pertes dans quatre pools de jetons.

PDG de Zilliqa démissionnaire : ce que le fil confirme et ce qu’il tait

Le fil est court : cinq messages envoyés à trois secondes d’intervalle. Il s’ouvre sur le fait que l’enquête menée avec un cabinet externe de cybersécurité se poursuit. Deux jours plus tôt, le 25 octobre, Zilliqa avait écrit sur X avoir mobilisé un cabinet « spécialisé en cybersécurité et en attaques pilotées par l’IA », sans le nommer. La mise à jour du 27 octobre ne le nomme pas davantage.

Sur le changement de direction, la formulation est claire. Alexander Zahnd est parti à sa demande ; le conseil dirige désormais directement l’entreprise, assisté d’un cabinet extérieur qui la conseille en cybersécurité et en gouvernance. Zilliqa n’a nommé aucun directeur général par intérim, n’a pas dit qui siège au conseil et n’a donné aucune date pour une nomination définitive. Rien dans le communiqué n’accuse Zahnd, et aucun des médias qui l’ont relayé n’a rapporté le contraire.

Le dernier message affirme que Zilliqa restera concentrée sur « la sécurité des fonds des utilisateurs et la transparence totale », et qu’elle informera de l’évolution de ses affaires ses partenaires stratégiques LTIN et Telecom Liechtenstein. Ces deux partenaires comptent dans la stratégie actuelle de Zilliqa : depuis juillet, la société présente sa chaîne comme une couche de conformité et de règlement pour la finance régulée, LTIN émettant pour elle des identifiants vérifiables d’entreprise (vLEI).

Ce que le fil omet, c’est l’essentiel de ce que veulent savoir les détenteurs. Aucun montant en dollars pour le pont, aucun nombre d’utilisateurs touchés, aucune date de réouverture de X-Bridge, pas un mot sur une indemnisation. Quand nous avons consulté le blog de Zilliqa le matin du 28 octobre (UTC), il ne contenait aucun billet sur ces incidents ; son dernier article datait du 24 septembre.

PlunderSwap : quatre pools ont perdu environ 33 700 $ entre le 22 et le 23 octobre

Le récit le plus net de la première exploitation vient de PlunderSwap, une bourse décentralisée qui tourne sur la chaîne EVM de Zilliqa. Dans un fil d’alerte publié le 23 octobre à 05 h 44 UTC, elle explique que plusieurs de ses pools V3 contenant des jetons adossés à ZRC2 ont été vidés entre 22 h 10 UTC le 22 octobre et environ 01 h 40 UTC le 23 octobre.

Selon PlunderSwap, la cause est un bogue du logiciel de nœud de Zilliqa, en version zq2 v0.21.10, et non ses propres contrats. Dans sa description, l’attaquant réglait des échanges avec des jetons ZRC2 dont les transferts apparaissaient pendant la transaction mais étaient écartés au moment de son inscription dans la chaîne. Les pools versaient de vrais actifs et ne recevaient rien en retour.

Le fil de Zilliqa parle de « contrats proxy ZRC2 » touchés et ne mentionne pas le nœud. Les deux descriptions ne se contredisent pas, puisqu’un contrat proxy s’exécute sur le nœud, mais Zilliqa n’a publié aucune cause technique de son côté : le bogue de nœud reste donc la version de PlunderSwap.

PlunderSwap a publié ces chiffres dans le même fil :

PlunderSwap précise que les 12,3 millions de ZIL ont rejoint un unique portefeuille chaud d’une plateforme d’échange centralisée ; elle a publié l’adresse et demandé à plusieurs grandes plateformes de l’identifier et de la geler. Le fil de Zilliqa dit travailler avec les plateformes mais n’indique pas si des fonds ont été gelés. PlunderSwap écrit aussi que les pools endommagés ne peuvent être ni réparés ni redéployés sur la chaîne, et que seule une restauration au niveau de la chaîne remettrait les fournisseurs de liquidité dans leur situation d’avant. Elle a appelé Zilliqa à en faire une priorité. Le fil du 27 octobre ne répond pas à cette demande.

Les valeurs en dollars sont celles de PlunderSwap, au cours du ZIL du 23 octobre, et ne couvrent que les pools. Elles ne représentent pas un total pour l’ensemble de l’incident.

X-Bridge est fermé dans les deux sens, et personne n’a publié de perte vérifiée sur le pont

X-Bridge relie Zilliqa à Ethereum et à BNB Chain. Les utilisateurs bloquent des jetons d’un côté et reçoivent une version « enveloppée », comme zUSDT, sur Zilliqa. Si les contrats ou les clés qui protègent le côté bloqué sont compromis, les jetons enveloppés peuvent perdre leur couverture. Notre guide sur le fonctionnement des ponts inter-chaînes explique ce mécanisme de blocage et d’émission, et pourquoi il attire les attaquants.

X-Bridge reste suspendu, selon Zilliqa, et The Defiant indique qu’il est fermé dans les deux sens. Le 24 octobre, trois jours avant la mise à jour de Zilliqa, ZilStream, un site de données de marché consacré à Zilliqa, écrivait sur X qu’il y avait « plusieurs exploitations en cours » sur la chaîne. Il affirmait que le pont avait été piraté, que tous les fonds du côté Ethereum avaient été volés et que cela durait depuis plus de deux semaines. Cette affirmation n’est pas confirmée : Zilliqa ne l’a ni confirmée ni démentie, et n’a avancé aucun chiffre pour le pont.

Une estimation en dollars du préjudice sur le pont circule dans certains titres de presse. Nous ne l’avons trouvée dans aucune déclaration de Zilliqa ni de PlunderSwap, et aucune seconde source ne la confirme : nous ne la reprenons donc pas. Le seul chiffre de pertes publié par une partie à l’incident est celui de PlunderSwap, 33 700 $ pour ses pools.

Un détail à garder en tête : zUSDC, l’USDC enveloppé que Zilliqa a ajouté à X-Bridge le 5 mars 2026, ne figure pas sur la liste des jetons touchés selon Zilliqa. zUSDT, si.

SEED se dissout, et les détenteurs de quatre jetons sont invités à rester à l’écart

Le premier projet à tirer ses propres conclusions est SEED. Le 27 octobre à 13 h 24 UTC, trois heures et demie avant le fil de Zilliqa, le compte Kalijo, derrière SEED, a annoncé que le jeton était en cours de liquidation. L’exploitation du 22 octobre est survenue au niveau du réseau Zilliqa et a vidé l’essentiel de la liquidité de SEED, écrit-il, et Zilliqa lui a confirmé qu’elle ne corrigerait ni ne restaurerait rien de ce qui touche à SEED. Zilliqa ne l’a pas dit publiquement.

L’équipe de SEED affirme que les détenteurs seront remboursés au prorata en USDC (et non en zUSDC) à partir des fonds de yield farming hors chaîne du projet, sur la base des soldes d’un instantané pris avant l’exploitation, au bloc 38 738 522. Les jetons achetés après ce bloc ne sont pas couverts. L’équipe n’a pas dit combien contiennent ces fonds ni dans quelle mesure le remboursement approche la valeur intégrale.

Pour les trois autres jetons, zUSDT, kUSD et Zoge, personne n’a annoncé de plan de remboursement. PlunderSwap affiche des avertissements sur tout son site depuis le 24 octobre et demande de ne pas échanger ni ajouter de liquidité dans les pools qui les contiennent.

Les escrocs exploitent déjà l’affaire. Sous le fil de Zilliqa, des réponses renvoyaient vers un compte imitateur proposant un test d’« éligibilité ». Zilliqa écrit dans le même fil qu’elle n’enverra jamais de message privé et ne demandera jamais de phrase de récupération ni de clés privées. Quiconque détient du ZIL en auto-conservation n’a aucune raison de saisir une phrase de récupération sur un site pour suivre cet incident.

Pour un lecteur en France, ces jetons sont avant tout un risque de contrepartie et d’hameçonnage. Nous n’avons relevé, à ce stade, aucune communication d’une autorité française sur ce dossier.

Zahnd a dirigé Zilliqa pendant 17 mois ; son prédécesseur était parti en avril 2025

Alexander Zahnd était directeur financier de Zilliqa depuis trois ans quand l’entreprise l’a nommé directeur général par intérim, le 6 mai 2025. Il remplaçait Matt Dyer, qui avait quitté la direction générale en avril 2025. Le blog de Zilliqa créditait Dyer d’avoir mené la réponse à l’exploitation de X-Bridge de février 2025 et n’indiquait aucune raison à son départ.

Les deux départs sont intervenus dans les semaines qui ont suivi des ennuis sur X-Bridge. C’est une simple question de dates. Zilliqa n’a jamais relié l’un ou l’autre départ à un incident de sécurité, et pour Zahnd elle précise qu’il est parti à sa demande. En prenant ses fonctions en mai 2025, Zahnd s’était dit « honoré de guider Zilliqa durant cette phase intérimaire ».

Faute de directeur général nommé, ceux qui répondent de l’enquête, du pont et de toute indemnisation sont, pour l’instant, le conseil et ses conseillers extérieurs.

Février 2025, juillet 2026, octobre 2026 : une série de failles de sécurité

Ce n’est pas le premier mois difficile de Zilliqa. La liste ci-dessous s’en tient à ce que l’entreprise et les médias cités ont publié, avec les dates.

6 février 2025 : la première exploitation de X-Bridge

Un bogue dans un contrat de gestion de jetons récemment ajouté a permis à un attaquant de créer 531 zETH et 2,2133 zBNB sans bloquer de collatéral, d’après le bilan publié par Zilliqa le 20 février 2025. L’attaquant a vendu 140,378 zETH sur ZilSwap pour environ 42 000 $ en USDT. Zilliqa a coupé le relais, mis les contrats en pause, émis des jetons de remplacement et rouvert le pont sous une forme restreinte.

Juillet 2026 : vol dans le portefeuille froid d’un partenaire et faille de signature Ledger

Le 20 juillet 2026, Zilliqa a indiqué que du ZIL avait été volé dans le portefeuille froid d’une plateforme partenaire qu’elle n’a pas nommée, et a demandé aux plateformes de suspendre les dépôts et retraits de ZIL, selon Crypto Briefing. Ni le montant ni la plateforme n’ont été révélés.

À peu près au même moment, Zilliqa a désactivé les transactions héritées pour empêcher des attaquants d’exploiter une faille de signature de l’application Zilliqa pour Ledger. Dans ce que nous avons lu, la société n’a pas dit si les deux événements n’en font qu’un ; nous les gardons donc séparés.

2 septembre 2026 : bifurcations, outil de migration et vote sur l’indemnisation

Dans un billet de blog du 2 septembre, Zilliqa a qualifié l’incident lié à Ledger d’« échec grave qui a coûté de vrais fonds à de vraies personnes ». Elle y décrivait un hard fork déplaçant le ZIL d’un premier lot de dix plateformes partenaires des adresses héritées vers des adresses Zilliqa EVM, un second fork prévu à la mi-septembre, un outil à preuve à divulgation nulle de connaissance pour les détenteurs en auto-conservation restés sur des adresses héritées, et un vote communautaire prévu sur la création de nouveaux ZIL pour indemniser les victimes. Un recouvrement en justice était possible, ajoutait-elle, mais probablement lent et incertain. Le billet ne donnait ni montant volé ni nombre de victimes.

16 octobre 2026 : Upbit et Bithumb retirent le ZIL de la cote

Six jours avant que les pools de PlunderSwap ne soient vidés, Zilliqa s’est dite « déçue » sur X que Upbit et Bithumb, deux des plus grandes plateformes sud-coréennes, aient décidé de retirer le ZIL de la cote après des mois d’échanges avec la DAXA, l’organisme d’autorégulation des plateformes coréennes, au sujet de l’incident Ledger. Les deux permettent encore aux détenteurs de retirer leur ZIL sur Zilliqa EVM. Zilliqa avait alors mené un troisième hard fork le 5 octobre pour déplacer les soldes de Bithumb, Bybit et Uphold vers les nouvelles adresses.

Le fil du 27 octobre évoque des « incidents de sécurité récents », au pluriel. Il ne dit pas si les exploitations d’octobre ont un lien avec les événements de juillet.

Le cours du ZIL a à peine bougé après l’annonce

Le ZIL n’a pas décroché après la démission : la page publique de CoinGecko le montrait légèrement en hausse sur 24 heures le matin du 28 octobre, pour une valorisation d’environ 39 millions de dollars.

Le jeton était déjà bas. Après le vol de juillet, le ZIL était passé d’environ 0,0028 $ à un plus bas de 0,0024 $, avait alors rapporté Crypto Briefing. Mercredi matin, il restait sous ce plus bas de juillet. Rien de tout cela ne constitue un avis sur l’évolution future du cours.

Questions ouvertes et suites à surveiller

Plusieurs réponses diront la gravité réelle de cet épisode :

• Combien a été pris via X-Bridge, et si Zilliqa ou le cabinet extérieur publiera un chiffre.
• Si Zilliqa confirme le diagnostic de PlunderSwap, un bogue du nœud zq2 v0.21.10, et si une version corrigée du nœud suit.
• Si une plateforme gèle les 12,3 millions de ZIL que PlunderSwap a tracés jusqu’à un portefeuille chaud.
• Si Zilliqa accepte la restauration au niveau de la chaîne demandée par PlunderSwap, ou propose une autre voie aux fournisseurs de liquidité des quatre pools.
• Qui le conseil nommera directeur général, et quand, et si les cabinets extérieurs seront nommés.
• Quand X-Bridge rouvrira, et ce qu’il adviendra d’ici là des zUSDT, kUSD et Zoge détenus par les utilisateurs.

Les prochaines informations viendront du compte X de Zilliqa, dit la société. D’ici là, la consigne de Zilliqa comme de PlunderSwap est la même : ne pas utiliser X-Bridge, et ne pas échanger ni apporter de liquidité dans les pools qui contiennent les quatre jetons touchés.

Pour ceux qui découvrent le sujet, notre fiche du glossaire sur ce qu’est un pont inter-chaînes pose les bases, et notre explication sur les endroits où les piratages crypto ont réellement lieu montre pourquoi les ponts et les contrats intelligents sont bien plus souvent visés que les chaînes elles-mêmes.