Le 6 septembre, Liquid Network a annoncé qu'environ 4 000 BTC avaient été retirés du portefeuille de sa Federation. Au cours du bitcoin de ce week-end-là, l'opération représentait environ 320 millions de dollars.

La réserve contenait autour de 4 200 BTC avant l'incident. En quelques transactions, environ 95 % de ce montant s'est donc retrouvé hors du portefeuille chargé de garantir les L-BTC circulant sur la sidechain.

Liquid a temporairement désactivé ses bridge nodes. Les plateformes prenant en charge le L-BTC ont été invitées à suspendre dépôts et retraits.

Bitcoin, lui, n'a jamais cessé de fonctionner.

Le plus étrange est que la clé n'aurait pas été volée

Les premiers éléments publiés par Liquid et SideSwap rendent l'incident particulièrement intéressant techniquement. Le retrait est passé par le Peg-out Authorization Key de SideSwap, un mécanisme autorisé permettant de convertir des L-BTC en véritables BTC.

Liquid affirme que cette clé n'a pas été compromise. SideSwap dit également que son infrastructure et sa clé d'autorisation n'ont pas été piratées.

Pourtant, la Federation a bien libéré les bitcoins.

SideSwap explique avoir reçu 4 000 L-BTC d'un client à 14 h 05 UTC. Les jetons ont été brûlés dans le cadre d'un peg-out disposant d'une autorisation valide. Vingt-trois minutes plus tard, la Federation a envoyé environ 3 996 BTC à l'adresse Bitcoin demandée.

Vu depuis le mécanisme de retrait, une grande partie de l'opération ressemblait donc à une transaction parfaitement normale.

Le problème serait apparu avant le retrait

Selon SideSwap, Blockstream a ensuite établi que les 4 000 L-BTC utilisés dans l'opération avaient été créés grâce à un bug dans Elements, le logiciel open source sur lequel repose Liquid.

Autrement dit, le problème ne serait pas qu'un attaquant ait volé la clé permettant d'ouvrir la réserve. Il aurait réussi à présenter au mécanisme de peg-out des L-BTC qui n'étaient pas réellement couverts par des bitcoins préalablement déposés.

Ces jetons ont ensuite été brûlés normalement. Le système a vu une demande de sortie autorisée et a envoyé de vrais bitcoins en contrepartie.

Blockstream n'avait toujours pas publié, au 8 septembre, de post-mortem technique complet détaillant précisément la vulnérabilité.

C'est exactement le point sensible d'un L-BTC

Liquid est une sidechain de Bitcoin. Lorsqu'un utilisateur transfère des BTC vers Liquid, les bitcoins correspondants sont immobilisés et une quantité équivalente de L-BTC peut circuler sur la chaîne secondaire.

Le chemin inverse repose sur le principe opposé : les L-BTC sont détruits et la quantité correspondante de BTC est libérée.

La valeur du L-BTC dépend donc directement de cette correspondance. Un L-BTC est censé représenter un bitcoin détenu de l'autre côté du pont.

Créer du L-BTC sans apporter le BTC correspondant revient à fabriquer une créance sur la réserve sans fournir l'actif qui devrait la garantir.

Et lorsque le mécanisme de sortie accepte ensuite cette créance comme valide, les vrais bitcoins de la réserve peuvent partir.

Les auteurs ont écrit « we are whitehats » sur Bitcoin

Quelques heures après les retraits, les responsables ont laissé un message dans une transaction Bitcoin : « we are whitehats. contact us on chain ».

Blockstream a répondu de la même manière, en demandant au groupe de contacter son équipe de sécurité. Une partie des échanges suivants a utilisé des messages signés et du contenu chiffré PGP transporté sur la blockchain.

Les auteurs ont ensuite indiqué qu'ils rendraient la majorité des fonds une fois la vulnérabilité corrigée et les nœuds concernés mis à jour.

Le 7 septembre, Blockstream leur a envoyé un message signé indiquant que les bridge nodes avaient été corrigés et que les fonds pouvaient être restitués en sécurité.

Puis l'argent est effectivement revenu.

3 400 BTC rendus, 598,5 BTC toujours ailleurs

Une transaction confirmée dans le bloc Bitcoin 965 950 a renvoyé exactement 3 400 BTC vers une adresse de la Liquid Federation.

Cela représente environ 85 % du montant sorti lors de l'incident.

Le reste de la transaction, environ 598,5 BTC, est reparti vers une adresse contrôlée par les auteurs. Au 8 septembre, ces bitcoins représentaient environ 47 millions de dollars et n'avaient pas été restitués.

Aucun accord public ne permet pour l'instant d'affirmer que cette somme constitue une prime officiellement acceptée par Blockstream.

C'est pourquoi le terme « white hat » doit rester entre guillemets. C'est ainsi que les responsables se décrivent ; ce n'est pas un statut indépendant qui leur a été attribué.

Une prime de 47 millions de dollars serait difficile à qualifier de détail

Le CTO de Ledger, Charles Guillemet, a publiquement contesté la qualification de white hats tant que près de 600 BTC restent entre les mains du groupe.

Le débat est assez simple à comprendre. Un chercheur en sécurité peut recevoir une récompense importante pour avoir découvert une vulnérabilité critique. Mais une prime est normalement encadrée par des conditions connues ou négociées.

Ici, aucun terme public n'établit encore que Blockstream a accepté que les responsables conservent 598,5 BTC.

Le fait que 3 400 BTC soient revenus est donc une excellente nouvelle pour la réserve. Il ne permet pas à lui seul de conclure que l'incident est clos.

Le réseau restait arrêté après le retour des fonds

Le correctif des bridge nodes et le retour de 85 % des bitcoins n'ont pas immédiatement entraîné le redémarrage de Liquid.

Au 8 septembre, les bridge nodes publics étaient toujours signalés comme indisponibles et le réseau préparait un redémarrage coordonné. Les utilisateurs avaient été invités à ne pas envoyer de BTC vers des adresses de peg-in avant confirmation du rétablissement.

Les autres actifs émis sur Liquid, notamment USDT, DePix et différents actifs tokenisés, n'ont pas été directement retirés dans cet incident. La suspension du réseau affecte néanmoins son fonctionnement opérationnel.

Le problème n'était pas Bitcoin

La distinction est importante. Les règles de consensus de Bitcoin n'ont pas été cassées et aucune vulnérabilité du protocole Bitcoin n'a permis de créer ces 4 000 BTC.

Les bitcoins qui ont quitté la Federation étaient de véritables bitcoins, transférés dans des transactions Bitcoin valides.

La faiblesse se situe dans l'infrastructure qui maintient la correspondance entre Bitcoin et sa représentation L-BTC sur Liquid.

C'est précisément pourquoi les bridges restent l'une des parties les plus sensibles des architectures blockchain : il n'est pas nécessaire de casser la chaîne principale si l'on peut convaincre le système qui garde ses actifs qu'une demande de retrait invalide est légitime.

Le vrai bilan dépend maintenant de 598,5 BTC et d'un post-mortem

Liquid a récupéré l'essentiel de l'argent. C'est le résultat le plus immédiatement rassurant.

Mais il manque encore trois pièces pour considérer l'affaire comme terminée : le sort des quelque 598,5 BTC restants, la restauration complète des services et une explication technique suffisamment précise de la faille d'Elements et de sa propagation.

L'incident restera particulièrement instructif même si chaque bitcoin finit par revenir.

La clé qui autorisait le retrait n'aurait pas été volée. Elle aurait fait exactement ce qu'elle était censée faire face à une demande que le reste du système avait laissé devenir valide. En sécurité, c'est parfois une situation plus intéressante — et plus inquiétante — qu'une simple clé compromise.