Blockstream refuse de payer une rançon pour récupérer 47 millions de dollars en Bitcoin volés lors du piratage de Liquid
Points clés
- •Blockstream a annoncé publiquement qu’elle ne paierait pas de rançon pour environ 598,5 BTC, d’une valeur d’environ 47 millions de dollars, toujours détenus après l’exploit du Liquid Network, qualifiant l’opération de vol plutôt que d’activité de white hat.
- •Les attaquants ont exploité une faille dans la mise en cache des vérifications de preuves par intervalle des nœuds Liquid pour créer des L-BTC non garantis et drainer environ 4 000 BTC, valorisés à près de 320 millions de dollars ; 3 400 BTC ont été restitués lundi.
- •Blockstream a corrigé les nœuds du bridge concernés en 10 heures et publié Elements v23.3.4, permettant à Liquid de reprendre la production de blocs jeudi, tandis que les sorties de peg restent désactivées par précaution pendant la récupération.
- •Les exploitants de la faille ont exigé 10 % des actifs au titre d’une prime de bug et menacé d’une perte de 15 % pour les détenteurs, affirmant que Blockstream avait alloué des fonds insuffisants pour sécuriser environ 5 milliards de dollars d’actifs.
- •Blockstream a déclaré qu’elle emprunterait toutes les voies légales, en collaboration avec les autorités, les plateformes d’échange et des spécialistes de la criminalistique, et qu’elle ne couvrirait pas le déficit avec les fonds des utilisateurs.
Blockstream a déclaré qu’elle ne paierait pas de rançon pour récupérer environ 598,5 BTC, d’une valeur d’environ 47 millions de dollars, toujours manquants après l’exploit du Liquid Network. Cette décision met fin à plusieurs jours de négociations avec les personnes ayant pris les fonds.
Les attaquants ont drainé environ 4 000 BTC de la sidechain Liquid dimanche, pour une valeur d’environ 320 millions de dollars à ce moment-là. Ils ont restitué 3 400 BTC lundi, soit environ 85 % du montant volé. Les 598,5 BTC restants sont toujours détenus à l’adresse vers laquelle ils ont été retirés et n’ont pas bougé.
« Prendre des actifs sans autorisation et retenir leur restitution constitue un crime, et non une divulgation responsable », a déclaré Blockstream vendredi. « Ce n’est pas une activité de white hat. C’est un vol. »
Dans une publication sur X, Blockstream s’est adressée aux responsables du vol :
To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026
https://x.com/Blockstream/status/2098281867908690394?ref_src=twsrc%5Etfw
L’exploit reposait sur une faille dans la manière dont les nœuds Liquid mettaient en cache les vérifications de preuves par intervalle. Cette vulnérabilité a permis aux attaquants de créer des L-BTC non garantis et de les échanger contre des bitcoins de réserve via SideSwap, un membre de la fédération détenant une clé d’autorisation de sortie de peg. La réserve de Liquid est ensuite tombée à 197 BTC.
Blockstream a corrigé les nœuds du bridge en 10 heures et publié Elements v23.3.4 mercredi. Liquid a repris la production de blocs et le traitement des transactions jeudi, bien que les sorties de peg restent désactivées par précaution pendant la « dernière étape de la récupération ». Les sorties de peg sont le mécanisme permettant d’échanger des L-BTC contre des bitcoins détenus dans la réserve de Liquid ; leur désactivation empêche donc cette conversion pendant la poursuite des travaux de récupération. L’entreprise a également averti que des escrocs ciblaient les opérateurs de nœuds avec de faux sites de mise à jour.
Le rapport d’incident publié mardi par Liquid a décrit les attaquants comme un « white hat hacker » et indiqué que le projet se coordonnait avec cette personne afin de relancer le réseau. Blockstream a déclaré que sa participation à ces discussions « ne devait pas être interprétée comme une acceptation des actions menées ni des conditions exigées ».
Les exigences ont été rendues publiques dans une transaction Bitcoin mercredi. Les exploitants de la faille ont affirmé que Blockstream n’avait alloué « que 1,5 million de dollars (peut-être même 0) pour sécuriser 5 milliards de dollars d’actifs », qualifiant cela de « négligence flagrante en matière de sécurité ». Ils ont exigé 10 % « en utilisant votre propre argent comme prime de bug », ou averti : « vous ferez subir à tous vos détenteurs une perte de 15 % en raison de votre irresponsabilité et de votre avarice. »
Blockstream affirme qu’elle ne créera pas de précédent en matière de rançon
Blockstream a déclaré qu’elle ne serait pas « partie prenante au précédent selon lequel un logiciel open source développé dans l’intérêt de la communauté Bitcoin devrait contraindre ses développeurs à payer une rançon largement supérieure à leur participation économique ».
L’entreprise a également déclaré qu’elle ne couvrirait pas le déficit avec les fonds des utilisateurs. « Bitcoin est une monnaie à offre limitée et ne peut pas être créé sans coûts », a-t-elle affirmé. « Bitcoin ne réduit pas la part des utilisateurs pour payer une rançon. »
Si les bitcoins restants ne sont pas restitués, Blockstream a déclaré qu’elle emprunterait « toutes les voies légales » avec les autorités, les plateformes d’échange et des spécialistes de la criminalistique. « Les transactions ne disparaissent pas, pas plus que les preuves qu’elles laissent derrière elles », a averti l’entreprise, avant de conclure : « Rendez les bitcoins. »
Source : Decrypt
