Liquid Network perd près de 4 000 BTC lors d'une faille de sécurité ; Blockstream cherche à contacter les hackers via la chaîne

Liquid Network, une sidechain Bitcoin développée par Blockstream pour permettre des transactions Bitcoin plus rapides, a confirmé une faille de sécurité majeure le dimanche 6 septembre. Près de 4 000 BTC, d'une valeur d'environ 320 millions de dollars, ont été transférés hors du portefeuille Bitcoin de la Liquid Federation sans autorisation standard. L'ampleur de la perte place cet incident parmi les plus importantes exploitations à ce jour touchant une infrastructure liée à Bitcoin, une catégorie qui a historiquement connu des violations moins fréquentes mais bien plus coûteuses que les protocoles de contrats intelligents.

Peg-out non autorisé et communication avec les hackers

Le transfert a été effectué via un processus appelé peg-out, qui permet de déplacer des bitcoins de la sidechain Liquid vers le réseau Bitcoin principal. La Liquid Federation a déclaré que la transaction n'avait pas été autorisée selon son processus habituel.

Les responsables du retrait ont laissé un message on-chain via la fonction OP_RETURN, qui disait : « we are whitehats. contact us on chain. » Ce message était inclus dans la transaction Bitcoin c103de95817b43f2df635ec6f35ff126ca26a7c6d20570c4b01866b2b3e69a19. La Liquid Federation a décrit les auteurs de l'incident comme des « prétendus hackers white hat » et a indiqué que Blockstream tentait d'établir un contact avec eux via une réponse signée on-chain. Blockstream cherche à joindre les individus qui ont déplacé les fonds à l'aide d'un message signé, à la suite d'un retrait effectué en dehors de la voie d'autorisation habituelle.

L'analyste blockchain ErgoBTC a identifié le paiement majeur comme la transaction 8db751…a7b140, qui a envoyé environ 3 996 BTC vers l'adresse bc1qgs…c6wt7p. La transaction a été confirmée dans le bloc Bitcoin 965 783 à 14:28:56 UTC le 6 septembre. Sur la sidechain Liquid, l'explorateur de Blockstream a enregistré la transaction corrélée ce4cae…e988f2, correspondant à un peg-out de 3 996,01834922 LBTC.

La Liquid Federation a indiqué que le retrait a utilisé la Peg-out Authorization Key (PAK) de SideSwap, tout en affirmant que la clé elle-même n'était pas compromise. Cette distinction reste essentielle pour comprendre la faille, car la liste PAK est précisément le mécanisme conçu pour empêcher ce type de retrait hors processus.

Mini-dictionnaire : Liquid Network — une sidechain Bitcoin développée par Blockstream, conçue pour offrir des transactions plus rapides et plus confidentielles aux traders, plateformes d'échange et institutions financières.

La Peg-out Authorization Key au centre des interrogations

Liquid Network utilise un peg bidirectionnel permettant aux utilisateurs de verrouiller des BTC afin de créer du Liquid Bitcoin (LBTC) sur la sidechain. Ils peuvent ensuite détruire ces LBTC en échange de la restitution des BTC verrouillés. Les transactions de peg-out sont protégées par une Peg-out Authorization Key, destinée à empêcher des fonctionnaires compromis de transférer les fonds des utilisateurs vers des adresses malveillantes.

Selon la documentation du projet, même si certains signataires de blocs étaient compromis, le système PAK est censé bloquer les transferts non autorisés. La structure « Strong Federation » de Liquid exige qu'au moins deux tiers des signataires de blocs valident les blocs, et une proportion encore plus élevée de watchmen pour approuver les dépenses en BTC.

La Liquid Federation a déclaré qu'il n'y avait aucun signe que la clé elle-même ait été violée. L'attention se porte désormais sur la façon dont la transaction a été approuvée avec une clé d'autorisation valide et non compromise — une question qui touche au cœur de la confiance que les utilisateurs doivent accorder aux membres de la fédération et à leur sécurité opérationnelle, puisque les fonds sur Liquid dépendent de ce modèle de garde collective et non de clés Bitcoin individuelles.

Les affirmations « white hat » sous surveillance

Les individus responsables se sont décrits comme des « white hats », mais aucune preuve n'a été fournie pour étayer cette affirmation au-delà du message laissé on-chain. Lors d'incidents antérieurs, comme le piratage du protocole TAC, les événements n'ont été reconnus comme des opérations white hat qu'après le retour de la majeure partie des fonds par les attaquants.

Tant que les près de 4 000 BTC ne seront pas récupérés, le statut de « white hat » revendiqué par ces acteurs doit être considéré comme une affirmation et non comme une conclusion. Il n'existe actuellement aucune indication que les fonds aient atteint des plateformes d'échange ou aient été vendus, de sorte que tout impact immédiat sur le marché demeure incertain. Un mouvement on-chain ne garantit pas une pression vendeuse, à moins que les actifs ne soient déposés pour être négociés.

La confiance dans les ponts fédérés en jeu

Un rapport de TRM Labs portant sur les piratages cryptographiques du début de 2026 a révélé que les problèmes d'infrastructure et d'exploitation n'ont causé qu'environ 15 % des incidents, mais représentaient environ 76 % des pertes monétaires totales. Cela indique que les failles touchant la garde d'actifs et les ponts infligent souvent des dégâts bien plus importants que les exploitations plus modestes.

Des recherches de Heritage Falodun et Samson Ojo en juillet 2026 ont souligné que seulement 0,8 % des bitcoins en circulation sont utilisés dans la finance décentralisée, contre environ 30 % pour Ethereum. L'étude citait la confiance dans l'infrastructure comme raison principale pour laquelle le capital reste sur la couche de base Bitcoin plutôt que d'être intégré aux activités DeFi.

Blockstream, l'entreprise qui dirige le développement de Liquid, a publié en mai une feuille de route visant à réduire la dépendance aux tiers de confiance dans les systèmes de ponts. Une initiative en cours porte sur le développement du pont BitVM 1-of-n, conçu pour renforcer le caractère sans confiance et la sécurité. Si les modèles de ponts fédérés continuent de connaître de tels incidents, ces innovations pourraient devenir de plus en plus cruciales.

Il reste incertain de savoir comment les hackers répondront à Blockstream et si les BTC volés seront restitués, laissés dormants ou transférés vers des plateformes d'échange. Parmi les questions clés à suivre : la fédération divulguera-t-elle comment un retrait autorisé par une PAK valide a été exécuté en dehors du processus normal, et des protections supplémentaires seront-elles ajoutées avant que les utilisateurs ne retrouvent confiance dans l'entrée et la sortie de fonds via le peg du réseau. L'incident constitue désormais un test majeur, non seulement de la sécurité de Liquid, mais aussi de la confiance plus large que les utilisateurs de Bitcoin placent dans les solutions de ponts fédérés.