actualite · modere
4 000 BTC retirés de Liquid Network sans vol de clé privée
Plus de 95% des réserves BTC garantissant le L-BTC ont été retirées le 6 septembre suite à une faille logicielle, pas un vol de clés. 3 400 BTC ont été restitués, mais 47 millions de dollars restent introuvables.
Le 6 septembre, environ 4 000 BTC (≈320 M$) ont quitté le wallet de la fédération de Liquid Network, la sidechain Bitcoin développée par Blockstream. Ce montant représente plus de 95% des réserves censées garantir le L-BTC en circulation sur le réseau.
Ce qui rend cet incident particulièrement instructif, c'est son origine. Contrairement à la majorité des hacks, aucune clé privée n'a été compromise. La faille se situe dans Elements, le logiciel open source sur lequel repose Liquid. Les attaquants ont réussi à faire valider une preuve frauduleuse, ce qui leur a permis de créer artificiellement des L-BTC avant de les convertir en vrais BTC via le service de peg-out de SideSwap.
La suite est inhabituelle. Les auteurs de l'opération, qui se présentent comme des white hats, ont communiqué avec l'équipe de Liquid directement via des transactions Bitcoin, puis restitué 3 400 BTC le lendemain, une fois le correctif déployé. Mais la restitution reste incomplète : environ 598,5 BTC (≈47 M$) n'ont toujours pas été rendus.
Liquid reste suspendu le temps que Blockstream mette en place une nouvelle architecture de sécurité. SideSwap a reconnu deux failles dans son propre fonctionnement : une autorisation de retraits maintenue en ligne avec des paiements automatiques, et l'absence de contrôles suffisants sur leur montant et leur fréquence.
Ce qu'il faut en retenir : une infrastructure peut afficher des réserves parfaitement visibles on-chain et être compromise sans qu'aucune clé privée ne soit volée. Pour toute exposition à des actifs "wrappés" ou à des sidechains, la solidité technique de l'infrastructure sous-jacente mérite d'être questionnée au même titre que la custody.