La Liquid Federation a annoncé que les réserves de bitcoin du Liquid Network ont été entièrement restaurées, rétablissant une couverture de 1 BTC pour 1 LBTC, le token qui représente le bitcoin sur la sidechain de Blockstream. Cette restauration intervient près de deux mois après un exploit de septembre qui a drainé environ 320 millions de dollars en BTC et laissé un vide dans les réserves du réseau. Les pièces manquantes auraient été fournies par Blockstream.

Blockstream a comblé le déficit de réserve

Dans une annonce publiée sur X mardi 3 novembre, la Liquid Federation a écrit qu'elle « a le plaisir d'annoncer que les réserves de bitcoin du réseau ont été entièrement restaurées, rétablissant une couverture de 1:1 en BTC pour tout le LBTC ».

Le PDG de Blockstream, Adam Back, a partagé une capture d'écran d'un tableau de bord montrant que les actifs du Liquid Network correspondent aux passifs à 100 %. La capture d'écran montrait également que le déficit de réserve s'élève désormais à 0,00 BTC.

Interrogé sur la source des fonds, Samson Mow, membre du conseil d'administration de la Liquid Federation et ancien dirigeant de Blockstream, a répondu : « Comme indiqué à maintes reprises, Blockstream. »

Mow a suivi publiquement les dépôts au fur et à mesure de leur arrivée. Selon ses mises à jour, 50 BTC sont arrivés dans le portefeuille de la fédération le 28 octobre, laissant un manque de 550 BTC. 300 BTC supplémentaires ont été ajoutés au portefeuille lundi, suivis de 250 BTC de plus plus tard dans la journée, achevant le rétablissement de l'ancrage.

Les dépôts bouclent également la boucle sur l'arithmétique de l'exploit : des environ 4 000 LBTC non adossés frappés en septembre, 3 400 BTC sont revenus le lendemain, laissant environ 600 tokens en circulation — le même vide désormais comblé par les 600 BTC que Mow a vus arriver. Le déficit était plus qu'une simple écriture comptable : les LBTC non adossés peuvent être acheminés via des services de peg-out pour retirer du bitcoin réel, comme l'attaquant l'a démontré via SideSwap, de sorte que, jusqu'au remplissage, chaque token non adossé en circulation représentait une créance que la réserve ne pouvait pas honorer.

Les échanges directs entre bitcoin et LBTC avaient déjà repris plusieurs semaines plus tôt via les prestataires participants. Cependant, la Fédération n'a pas indiqué si toutes les restrictions de peg-out restantes ont désormais été levées, et au-delà des dépôts de Blockstream, elle n'a pas divulgué comment le déficit de réserve a été entièrement couvert.

Comment les attaquants ont frappé du LBTC non adossé

Des hackers se présentant comme des white-hat ont exploité un buy-in dans Elements, le logiciel open source qui fait tourner Liquid, le 6 septembre — un incident couvert plus tard dans l'évaluation de l'incident de sécurité du Liquid Network. La faille se trouvait dans un cache stockant les résultats de vérifications de rangeproof coûteuses. Comme la clé du cache omettait l'engagement d'actif et le scriptPubKey, un nœud pouvait réutiliser une preuve précédemment vérifiée dans un contexte où elle n'était pas valide.

Cette faiblesse a permis à l'attaquant de frapper environ 4 000 LBTC non adossés et de les acheminer via le service de peg-out de SideSwap pour retirer du bitcoin réel. Les clés privées n'ont pas été volées lors de l'exploit, grâce au multisig 11-de-15 de la fédération et aux clés d'autorisation de SideSwap, qui ont fonctionné comme prévu.

Le lendemain, l'attaquant a restitué 3 400 BTC mais a conservé environ 598 BTC, d'une valeur d'environ 47 millions de dollars à l'époque. L'attaquant a ensuite exigé un bug bounty de 10 % en échange des pièces restantes. Blockstream a refusé l'offre, déclarant qu'elle ne paierait pas « une ranèque dépassant de loin leur participation économique ». Quelques jours plus tard, le 9 septembre, Blockstream a publié une version durcie d'Elements, la v23.3.4.

Les correctifs peuvent-ils prévenir de futures attaques ?

Interrogé sous sa publication initiale sur X sur ce qui empêcherait le même type d'attaque de se reproduire, Back a déclaré que trois lignes de défense ont été durcies. Il a écrit que les clés d'autorisation de peg-out (PAK) ont été renouvelées et déplacées vers des portefeuilles matériels froids. Les caches de validation de preuves, a-t-il noté, ont été désactivés et le bug corrigé pour les nœuds. Pour le troisième correctif, Back a écrit que les règles de consensus ont été durcies, « et échouent de manière fermée ». Il a ajouté que les systèmes ont subi plusieurs audits tiers.

La mise en garde concernant les correctifs suggérés par l'IA

Back a également déclaré que l'une des leçons tirées de l'incident est de traiter chaque suggestion de l'IA avec méfiance, déclarant : « ne faites pas confiance, vérifiez. »

Sa mise en garde n'est pas sans fondement. Une analyse indépendante a suggéré que l'attaquant de septembre avait fait de l'ingénierie inverse sur la vulnérabilité à partir d'un commit GitHub au titre public avant que tout nœud de production ne soit mis à niveau. Selon le Threat Intelligence Group de Google (GTIG), des attaquants ont exploité 141 failles entre janvier et août 2026 — soit 14 incidents de plus que les 127 enregistrés sur l'ensemble de 2025. Il a été révélé que les outils d'IA réduisent l'écart entre la divulgation d'un bug et un exploit fonctionnel.

La Liquid Federation a indiqué qu'elle prépare également des changements en matière de gouvernance et de supervision, avec plus de détails promis dans les semaines à venir.

Source : Cryptopolitan