Liquid Network récupère 3 400 BTC après une exploitation du pont

Liquid Network a récupéré 3 400 $BTC — d’une valeur d’environ 269,2 millions de dollars — auprès des hackers autoproclamés white-hat à l’origine d’un retrait de 4 000 $BTC, bien qu’il reste encore près de 47 millions de dollars en Bitcoin non restitués.

85 % des Bitcoin retirés ont été récupérés

Les données on-chain montrent que les acteurs ont renvoyé 3 400 $BTC, valorisés à environ 268,2 millions de dollars au moment de la confirmation, vers le portefeuille Liquid Federation dans le bloc Bitcoin 965,950. Cette transaction a permis de récupérer environ 85 % des fonds retirés, tandis que 598,5 $BTC, d’une valeur d’environ 47 millions de dollars, sont restés sur l’adresse des acteurs.

Blockstream avait auparavant indiqué au groupe, via un message de transaction signé, que ses nœuds de pont avaient été corrigés et que les fonds étaient « safe to return ». Les acteurs n’ont pas expliqué publiquement pourquoi ils ont conservé les coins restants ni indiqué si un autre remboursement suivrait.

L’incident a commencé dimanche lorsqu’un client a envoyé 4 000 Liquid Bitcoin (L-$BTC) au service de peg-out de SideSwap, qui permet aux utilisateurs de transférer de la valeur depuis la sidechain Liquid vers le réseau Bitcoin via un processus de retrait autorisé.

Les acteurs se sont ensuite identifiés comme des « whitehats » dans un message joint à une transaction Bitcoin. Les hackers white-hat détectent et signalent généralement les failles de sécurité afin que les développeurs puissent les corriger, recevant souvent une récompense selon des conditions convenues avec le projet concerné. Toutefois, aucun accord divulgué publiquement n’établit que les acteurs de Liquid étaient autorisés à retirer les fonds, et ni Blockstream ni les acteurs n’ont publié de conditions accordant une récompense ou leur permettant de conserver près de 600 $BTC.

Comme crypto.news l’a rapporté avant le retour des fonds, les acteurs avaient առաջարկé de renvoyer « most » du Bitcoin une fois la vulnérabilité corrigée par Blockstream. À ce moment-là, aucun remboursement n’avait été confirmé, et le retrait représentait environ 95 % du Bitcoin prétendument détenu dans le portefeuille fédéré de Liquid.

Des messages on-chain ont précédé le remboursement de 3 400 $BTC

La communication entre Blockstream et les acteurs s’est faite par des messages attachés à des transactions Bitcoin, permettant aux deux parties d’échanger des instructions sans recourir à un service de messagerie privé.

Dans l’un de ces messages, les acteurs ont demandé à Blockstream de corriger la faille avant de restituer le Bitcoin :

« Please fix the bug first », disait le message. « The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix. »

Après cette confirmation, les acteurs ont envoyé 3 400 $BTC à l’adresse Liquid Federation. L’échange montre que le remboursement dépendait de l’acceptation par les acteurs de l’assurance de Blockstream selon laquelle les nœuds affectés étaient sûrs, bien qu’aucune des deux parties n’ait publié de rapport technique identifiant la faille ou expliquant comment le retrait a été possible.

Après avoir détecté la transaction, Liquid a désactivé ses nœuds de pont et demandé aux plateformes d’échange de suspendre les dépôts et retraits de L-$BTC. Cette fermeture a limité les mouvements entre Liquid et la couche de base Bitcoin pendant que les développeurs enquêtaient sur l’incident et appliquaient le correctif.

Selon Reuters, Blockstream a indiqué que la clé utilisée pendant le retrait n’avait pas été compromise. L’entreprise n’a pas publié d’analyse post-incident complète précisant si la faille concernait SideSwap, le logiciel du pont, la base de code Elements de Liquid ou une autre partie du processus de peg-out.

Le CTO de Ledger remet en cause la description de white-hat

Charles Guillemet, Chief Technology Officer de Ledger, a contesté la présentation des acteurs après qu’ils ont restitué la majeure partie des coins tout en conservant près de 600 $BTC.

« So, 3,400 $BTC were refunded », a écrit Guillemet sur X. « The ‘white hats’ still hold 600 $BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking! »

Son commentaire s’est concentré sur l’absence de conditions divulguées concernant le Bitcoin conservé. Un bug bounty classique fixe normalement la récompense et les conditions de restitution avant qu’un chercheur ne garde une partie des fonds concernés, tandis qu’aucun accord comparable entre Blockstream et les acteurs n’a été rendu public.

Un problème similaire est apparu après l’exploitation du pont Ethereum de Verus en mai. Dans ce cas, l’attaquant a restitué 75 % des fonds volés et conservé 1 350 ETH, alors d’une valeur d’environ 2,8 millions de dollars, après que Verus a publiquement proposé des conditions de règlement. Le remboursement de Liquid diffère car Blockstream n’a pas indiqué que les 598,5 $BTC restants constituaient une récompense approuvée.

Les revendications de white-hat ne déterminent pas à elles seules le statut juridique d’un acteur. Toute appréciation juridique dépendrait notamment de l’autorisation, de la méthode utilisée pour obtenir les actifs, des communications entre les parties et des lois applicables. Aucun régulateur américain ni aucune autorité chargée de l’application de la loi n’a annoncé de നടപടി liée au retrait de Liquid.

Les détenteurs de L-$BTC attendent des précisions sur la garantie et les retraits

Liquid est une sidechain Bitcoin fédérée développée par Blockstream. Les utilisateurs verrouillent des $BTC via son système de peg et reçoivent des L-$BTC sur la sidechain à un ratio de un pour un, ce qui permet des règlements et des transferts d’actifs plus rapides sans faire transiter chaque transaction par la couche de base Bitcoin.

Un récent guide sur la sécurité des bridges expliquait que les systèmes qui verrouillent des actifs sur un réseau et émettent des jetons correspondants ailleurs dépendent de la sécurité de leurs systèmes de conservation, de validation et de traitement des messages. Des défaillances à l’un de ces niveaux peuvent interrompre les rachats même lorsque la blockchain sous-jacente continue à fonctionner normalement.

Pour les utilisateurs basés aux États-Unis, le problème immédiat est opérationnel plutôt qu’une modification des règles fédérales sur les cryptoactifs. Les détenteurs américains qui utilisent L-$BTC font face aux mêmes suspensions des dépôts, retraits et services de peg que les autres utilisateurs, tandis que les $BTC natifs détenus directement sur la blockchain Bitcoin restent distincts du système de sidechain de Liquid.

Liquid n’a pas indiqué si les 3 400 $BTC restitués ont entièrement rétabli la couverture de l’offre correspondante en L-$BTC. Le réseau n’a pas non plus précisé comment il compte gérer tout écart créé par les 598,5 $BTC toujours contrôlés par les acteurs.

Aucune date de réouverture n’a été donnée pour les nœuds du pont, et il était toujours demandé aux plateformes d’échange de maintenir la suspension des dépôts et retraits de L-$BTC. Blockstream n’a pas non plus publié le compte rendu technique promis de la faille ni confirmé si les acteurs ont l’intention de restituer le Bitcoin restant.