Liquid vidé de 4 000 BTC : le plus gros piratage de 2026 se négocie en transactions Bitcoin

Le samedi 6 septembre, le portefeuille de la fédération qui soutient Liquid, la sidechain Bitcoin exploitée par Blockstream, a versé environ 4 000 BTC à un seul retrait. Aux prix du jour, cela représentait près de 320 millions de dollars, soit près de 95 pour cent des bitcoins que la sidechain détenait en réserve. Personne n'a volé de clé. Selon le rapport d'incident publié par Liquid le 8 septembre, une vulnérabilité d'Elements, le logiciel open source qui fait tourner les nœuds Liquid, se logeait dans la façon dont les nœuds mettent en cache la vérification des range proofs. Quelqu'un s'en est servi pour créer environ 4 000 L-BTC qu'aucun bitcoin n'adossait, puis a converti ces jetons en vrais bitcoins (peg-out) via SideSwap, un service de peg-out autorisé. SideSwap affirme que ses propres systèmes n'ont pas été compromis, et la page d'état de Blockstream indique que la clé d'autorisation de peg-out utilisée pour le retrait ne l'a pas été non plus. La chaîne a été mise en pause en quelques heures ; Blockstream indique que ses nœuds de pont étaient corrigés à 01:09 UTC le 7 septembre.

La suite est ce qui rend cette histoire inhabituelle, et c'est pourquoi nous en avons ajouté un fil en direct sur notre page d'accueil. À 18:30 UTC le 6 septembre, l'adresse détenant les pièces a dépensé une petite transaction portant un message texte dans une sortie OP_RETURN : « we are whitehats. contact us on chain » (nous sommes des white hats, contactez-nous sur la chaîne). Une heure plus tard, une adresse de Blockstream a répondu sur la chaîne elle aussi, en renvoyant à son adresse e-mail de sécurité. À partir de là, la négociation s'est déroulée en public, une transaction à la fois. Certains messages étaient en clair, d'autres signés avec la clé PGP publiée de Blockstream, et beaucoup chiffrés de sorte que seules les deux parties pouvaient les lire. Tôt le 7 septembre, le détenteur des fonds a écrit que l'essentiel des fonds serait renvoyé au portefeuille de peg de la fédération, et a demandé si cela convenait ; une réponse signée PGP a dit oui. Le détenteur a ensuite exigé que le bug soit corrigé et chaque nœud mis à jour avant tout transfert. À 09:41 UTC, un message signé de Blockstream a confirmé que les nœuds de pont étaient corrigés et que les fonds pouvaient être renvoyés sans risque, et à 16:09 UTC une seule transaction a renvoyé 3 400 BTC au portefeuille de peg. Les 598,5 BTC restants, environ 47 millions de dollars à ce moment-là, n'ont pas bougé.

C'est là que l'affaire en est ce soir, et elle a tourné à l'aigre. Après un message avec un visage triste le 7 septembre et une note le 8 septembre annonçant que tous les messages suivants seraient en clair, le détenteur a publié le 9 septembre un ultimatum accusant Blockstream de trop peu dépenser en sécurité et exigeant que l'entreprise paie de sa poche 10 pour cent à titre de prime de bug, faute de quoi elle exposerait ses utilisateurs à une perte de 15 pour cent. Blockstream a continué de répondre par des messages chiffrés et signés, le dernier tôt le 10 septembre, et n'a pas publiquement accepté ce cadrage. Le directeur technique de Ledger a déclaré que l'arrangement ressemblait davantage à de l'extorsion qu'à du travail de white hat, et Signal21 n'a aucun moyen de juger les intentions du groupe ; nous parlons donc de l'auteur de l'exploit et notons que l'étiquette « white hat » est la sienne. Le reste de la reprise se déroule au grand jour : les mainteneurs d'Elements ont publié une version corrigée le 9 septembre, et le 10 septembre la page d'état de Blockstream indiquait que Liquid avait recommencé à produire des blocs sans transactions d'utilisateurs, par précaution, les peg-ins et peg-outs restant suspendus. Adam Back, directeur général de Blockstream, aurait déclaré que la parité un pour un du L-BTC serait couverte. Qui paie le manque, et comment, n'a pas été précisé.

Pour les détenteurs de Bitcoin, trois choses méritent d'être distinguées. D'abord, rien dans cet incident n'a touché Bitcoin lui-même : le bug vit dans le logiciel d'une sidechain, le vol portait sur des bitcoins détenus par une fédération, et la couche de base a traité le siphonnage, les messages et le retour exactement comme elle traite tout le reste. Ensuite, c'est un rappel qu'une sidechain fédérée est un arrangement de garde avec des étapes en plus, et que « pas vos clés » s'applique au L-BTC autant qu'à un solde sur une plateforme d'échange. Enfin, le marché a haussé les épaules. Bitcoin a clôturé le 6 septembre près de 80 339 $ et a dérivé vers environ 77 275 $ tard le 10 septembre, avec un plus bas à 76 630 $ aujourd'hui. Le prix reste ainsi au-dessus de la ligne des 75 600 $ que nos notes récentes ont fixée comme fardeau des vendeurs, et sous la bande de 81 000 $ à 84 000 $ qui a plafonné mai et marque le niveau de rupture de janvier. Nos trois vues d'horizon sont inchangées, rafraîchies aujourd'hui avec les mêmes vues sur les trois horizons ; le prochain catalyseur daté de notre calendrier reste le vote du Sénat sur le CLARITY Act le 15 septembre.

Nous affichons sur notre page d'accueil le fil attribué entre l'auteur de l'exploit et Blockstream, mis à jour au fil des confirmations de blocs, chaque ligne étant reliée au bloc qui la porte. Les messages chiffrés sont affichés comme chiffrés ; nous ne les déchiffrons pas et ne le pouvons pas. La chaîne enregistrera la fin de cette histoire.

Cette publication constitue une analyse de marché et non une recommandation d’achat ou de vente.