Liquid Network a confirmé une faille de sécurité dimanche 6 septembre, après que près de 4 000 BTC — d'une valeur d'environ 320 millions de dollars — ont été prélevés sur le portefeuille Bitcoin de la Liquid Federation.

Un peg-out que la fédération affirme ne pas avoir autorisé

La partie à l'origine du transfert a laissé un message on-chain. Un OP_RETURN indiquant "we are whitehats. contact us on chain" apparaît dans la transaction Bitcoin « c103de…e69a19 ».

Dans sa publication sur X, Liquid a déclaré que des « prétendus hackers white hat » avaient retiré les fonds et que Blockstream tentait de les contacter on-chain au moyen d'un message signé. Blockstream est la société qui a développé Liquid, une sidechain Bitcoin dont les membres fédérés — notamment des plateformes d'échange et des institutions financières — traitent collectivement les peg-ins et les peg-outs.

ErgoBTC a identifié le important versement en Bitcoin comme la transaction « 8db751…a7b140 ». Elle a envoyé environ 3 996 BTC vers « bc1qgs…c6wt7p » et a été confirmée dans le bloc Bitcoin 965 783 à 14:28:56 UTC le 6 septembre.

Du côté de Liquid, l'explorateur de Blockstream montre la transaction associée, « ce4cae…e988f2 », impliquant un peg-out de 3 996,01834922 LBTC.

Liquid indique que le retrait a utilisé la clé d'autorisation de peg-out (PAK) de SideSwap, alors même que la PAK de SideSwap n'a pas été compromise. Cette distinction est essentielle pour comprendre ce qui s'est passé.

Ce qu'une PAK est censée empêcher

Liquid utilise un peg bidirectionnel entre Bitcoin et sa sidechain. Les utilisateurs verrouillent des BTC pour émettre du Liquid Bitcoin (LBTC), puis brûlent du LBTC pour libérer le Bitcoin sous-jacent, conformément à la documentation développeur de Liquid.

Les peg-outs sont contrôlés par une Peg-out Authorization Key. La documentation précise que la PAK est conçue de sorte que « même si un ensemble de fonctionnaires était compromis, ils ne pourraient pas rediriger les fonds des utilisateurs vers des adresses contrôlées par un attaquant ».

Si la PAK valide de SideSwap a été utilisée et que la clé n'a pas été compromise, la question principale devient de savoir où exactement, dans la chaîne de contrôle, l'erreur s'est produite. Les preuves actuelles n'indiquent en rien que Bitcoin lui-même ait connu un problème.

Comme le montre la documentation technique de Liquid, le concept de Strong Federation exige un minimum de deux tiers des signataires de blocs pour approuver les blocs, tandis que la dépense des Bitcoins détenus par la Fédération requiert un seuil de watchmen supérieur à deux tiers. Cette conception en couches vise à rendre les peg-outs non autorisés difficiles, ce qui explique précisément pourquoi un peg-out de cette ampleur, que la fédération affirme ne pas avoir autorisé, soulève des questions sur le mécanisme de sécurité qui a failli.

« White hat » : une affirmation, pas un verdict

Il serait prématuré de qualifier ces acteurs de white hats sur la seule base de leur déclaration. Il avait précédemment été rapporté que TAC, un protocole de transactions inter-chaînes décentralisées, avait géré un piratage d'environ 2,8 millions de dollars comme une opération white hat — mais seulement après que le hacker a accepté une commission de 10 % et restitué le reste.

Tant que les BTC de Liquid n'ont pas été restitués, « white hat » demeure une affirmation, et non un fait.

L'impact sur le marché est également plus complexe que ne le suggèrent les chiffres des titres. Déplacer des BTC on-chain ne signifie pas nécessairement qu'une pression vendeuse est en cours. Cela dépend de l'arrivée des fonds sur les plateformes d'échange, et il n'existe actuellement aucune preuve citée qu'ils y soient parvenus.

Le vrai test : la confiance dans les bridges fédérés

Selon le rapport de TRM Labs, les vulnérabilités liées aux infrastructures et aux opérations ont représenté environ 15 % des incidents au premier semestre 2026, mais 76 % des pertes totales en termes monétaires. Cela indique que les perturbations liées à la garde des actifs et aux bridges peuvent surpasser l'impact de mois d'exploits plus modestes.

Un article publié en juillet 2026 par Heritage Falodun et Samson Ojo note qu'environ 0,8 % seulement des BTC en circulation sont employés en DeFi, contre jusqu'à 30 % pour Ethereum. Les auteurs suggèrent que la confiance et l'infrastructure institutionnelle sont les principales raisons pour lesquelles les capitaux ne s'orientent pas vers Bitcoin.

Par ailleurs, la feuille de route de mai de Blockstream souligne la nécessité de réduire la dépendance du secteur aux dispositifs fondés sur la confiance. En particulier, la société développe un modèle de bridge BitVM 1-of-n. Si les conceptions fédérées continuent de provoquer des incidents de ce type, l'importance de ces travaux s'en trouve considérablement accrue.

Il reste à voir comment les parties impliquées dans le retrait répondront à Blockstream, et si les près de 4 000 BTC seront restitués, resteront immobilisés ou seront déplacés vers des plateformes d'échange.

Pour l'heure, cette situation représente non seulement un test de la sécurité de Liquid, mais aussi un test du niveau de confiance que les utilisateurs de Bitcoin accordent aux bridges fédérés.