Blockstream a rejeté une demande de prime de 10 % formulée par le groupe détenant environ 600 BTC restant de l’exploit survenu la semaine dernière sur le réseau Liquid. L’entreprise a déclaré qu’elle ne paierait pas pour récupérer les bitcoins et a plutôt exhorté les acteurs à restituer volontairement les fonds.

Le différend fait suite à un exploit survenu le 6 septembre, qui a drainé environ 4 000 BTC du portefeuille de la fédération de Liquid. Les bitcoins volés valaient alors près de 320 millions de dollars. Liquid a suspendu l’activité du réseau après avoir découvert l’incident.

Blockstream rejette la demande de paiement

Les acteurs s’étaient initialement présentés comme des hackers white hat. Ils ont restitué 3 400 BTC après que Blockstream a confirmé que les nœuds relais concernés avaient reçu des correctifs de sécurité. Toutefois, environ 598,5 BTC restent introuvables. Aux cours récents du marché, les bitcoins restants valaient environ 47 millions de dollars.

Le groupe a ensuite demandé une prime de 10 % à Blockstream et averti que les utilisateurs de Liquid pourraient subir une perte de 15 % si le différend n’était pas résolu. Blockstream a rejeté cette proposition.

« S’approprier des actifs sans autorisation et retenir leur restitution constitue un crime, et non une divulgation responsable », a déclaré Blockstream dans un communiqué. L’entreprise a ajouté qu’elle considérait les bitcoins restants comme volés plutôt que comme pouvant faire l’objet d’une prime légitime pour la découverte d’une faille.

Les efforts de récupération se poursuivent

Blockstream a déclaré avoir dialogué de bonne foi avec les acteurs tout en tentant de récupérer les fonds des utilisateurs. L’entreprise prévoit désormais d’explorer d’autres voies si les bitcoins ne sont pas restitués.

Ces démarches pourraient impliquer les autorités chargées de l’application de la loi, des plateformes d’échange de cryptomonnaies, des prestataires de services et des spécialistes de l’analyse forensique de la blockchain. Leur objectif serait de retracer les bitcoins restants et d’identifier les responsables.

L’exploit initial impliquait le traitement de L-BTC invalides par le système de peg-out de Liquid. Les enquêtes ont établi un lien entre l’incident et une vulnérabilité logicielle, plutôt qu’une compromission de la clé d’autorisation de SideSwap.

Liquid a poursuivi ses travaux de sécurité à la suite de l’exploit. Le réseau reste également soumis à des restrictions tandis que les développeurs et les membres de la fédération préparent un redémarrage sécurisé.

Le différend illustre un défi de sécurité croissant dans les cryptomonnaies : des acteurs peuvent exploiter une vulnérabilité, restituer la majorité des fonds, puis réclamer une compensation pour les actifs qu’ils conservent. Dans ce cas, Blockstream a clairement indiqué qu’elle ne reconnaissait pas les bitcoins restants comme une récompense autorisée.

Source : CryptoMeter