Le Liquid Network a annoncé dimanche que des hackers présumés « white hat » avaient retiré environ 4 000 bitcoins, d'une valeur d'environ 320 millions de dollars, du portefeuille de la fédération garantissant le L-BTC. Les nœuds de pont ont été désactivés et la chaîne latérale mise en pause, tandis que les autres actifs émis — notamment l'USDT, DePix et les RWA — n'ont pas été affectés, selon le compte officiel sur X. L'incident constitue l'une des plus importantes pertes connues liées à une chaîne latérale Bitcoin et attire de nouveau l'attention sur les compromis de sécurité des ponts fédérés, où la confiance repose sur un consortium de membres de confiance plutôt que sur un mécanisme public de preuve de réserves appliqué par la couche de base de Bitcoin elle-même.

Le Liquid Network est une chaîne latérale Bitcoin fédérée fondée par Blockstream, l'entreprise d'Adam Back, et lancée en 2018. Elle émet une variété d'actifs, comme le LBTC, adossés à des BTC sur la chaîne principale Bitcoin, détenus dans une grande multisignature de 15 membres corporatifs connus, comprenant des exchanges et des entreprises d'infrastructure. Onze des 15 membres doivent signer une transaction multisignature valide pour déplacer des fonds du trésor. Tether émet également l'USDT sur Liquid, ce qui explique pourquoi les autres actifs émis du réseau préoccupaient les détenteurs cette semaine. Avant le piratage, le trésor détenait plus de 4 200 BTC ; après, la page de preuve de réserves de Blockstream indiquait qu'il restait un peu plus de 207 BTC.

Les hackers ont retiré 4 019,4 BTC de l'adresse de réserve lors d'une transaction de peg-out utilisant la SideSwap Peg-out Authorization Key, visible sur mempool.space. SideSwap est un exchange de pont et membre de la Liquid Federation. Si le mécanisme du piratage n'est pas encore confirmé, il apparaît que les attaquants ont exploité un bug d'inflation sur la chaîne latérale LBTC pour créer plus de 4 000 LBTC qui n'existaient pas auparavant, puis les convertir en bitcoins onchain auprès de la fédération. La transaction semblant valide en raison du bug de consensus, les serveurs de sécurité HSM des membres de la fédération ont signé la transaction de retrait de BTC, d'une valeur d'environ 320 millions de dollars au moment des faits. Il est à noter que les dispositifs matériels de signature ont fonctionné comme prévu — la vulnérabilité, si elle est confirmée, résiderait dans les règles de consensus de la chaîne latérale, qui ont validé les LBTC frauduleux comme légitimes.

Le hacker a déplacé les fonds vers une adresse se terminant par 6gyqjlte, depuis laquelle il a rapidement signé une nouvelle transaction comportant un message dans le champ de données arbitraires OP_RETURN indiquant : « we are whitehats. contact us on chain. » Ces pièces se trouvaient encore à cette adresse au moment de la rédaction.

Une petite transaction sur le mainnet vers l'adresse du hacker a suivi, portant un message OP_RETURN indiquant « Please contact security@blockstream.com » — vraisemblablement depuis une adresse publique de Blockstream, mais cela reste non confirmé. Une dépense OP_RETURN ultérieure depuis l'adresse du hacker portait le message « Please contact us on Signal @m671aw.70 » ; il pourrait toutefois s'agir de spam, car elle ne partage aucun lien vers l'adresse détenant les fonds volés.

En réponse à l'incident, les exchanges ont été priés de suspendre les dépôts et retraits de L-BTC. Les nœuds de pont du Liquid Network ont été suspendus, limitant l'accès à la chaîne latérale, qui continue de produire des blocs.

Le PDG de JAN3, Samson Mow, a déclaré sur X que les fonctionnalités Liquid d'Aqua étaient affectées et que le bitcoin on-chain fonctionnait toujours. D'autres portefeuilles du secteur utilisant le Liquid Network devraient également être touchés. Les détenteurs de LBTC voient désormais leur épargne effectivement en danger, puisque les BTC sous-jacents ne sont actuellement pas remboursables.

Étant donné la nature privée de la chaîne Liquid, les analyses on-chain sur les avoirs des utilisateurs sont rares, et peu d'informations publiques existent sur la quantité de LBTC détenue par les particuliers par rapport aux entreprises ou à Blockstream elle-même. Si les fonds n'étaient pas restitués, ce serait un coup dur pour la base d'utilisateurs du Liquid Network et pour le modèle plus large des chaînes latérales fédérées, qui dépend de la confiance des utilisateurs dans l'intégrité des réserves adossées. Les détenteurs de LBTC n'ont d'autre option que d'attendre l'issue des échanges avec les hackers. Compte tenu de l'ampleur du vol, il serait difficile — quoique peut-être pas impossible — pour les hackers de s'enfuir avec tous ces bitcoins, les fonds volés se trouvant à une adresse publiquement observable et toute tentative de les déplacer via des services régulés attirerait l'attention. Un scénario possible est que les hackers demandent une prime de découverte et restituent la majorité des fonds.

Cet article est apparu pour la première fois sur Bitcoin Magazine et est rédigé par Juan Galt.