La faille logicielle de Liquid Network permet le vol de 47 millions de dollars en BTC

Environ 320 millions de dollars ont quitté le portefeuille de la Liquid Federation en un seul week-end. Et le réseau ne peut toujours pas expliquer pleinement comment cela s’est produit.

Dimanche, des acteurs décrits comme des « hackers éthiques présumés » ont retiré environ 4 000 BTC du portefeuille de la Liquid Federation, ciblant un composant appelé la Clef d’Autorisation de Peg-out — le mécanisme géré par la plateforme SideSwap qui gère la conversion de Bitcoin au sein du réseau. Liquid Network a réagi rapidement pour contenir l’incident, désactivant presque immédiatement les nœuds de pont pour empêcher d’autres transactions. Les échanges ont été informés rapidement et ont suspendu les dépôts et retraits de L-BTC. D’autres actifs sur le réseau — USDT et DePix — n’ont apparemment pas été affectés, bien que l’arrêt des nœuds ait également interrompu les transactions les concernant.

Pas compromis. C’est ce qu’a déclaré Liquid Network à propos de ses clefs de fédération.

Comment 4 000 BTC ont quitté le bâtiment

Les clefs de la fédération sont restées intactes, selon le réseau. Une vulnérabilité logicielle dans le processus d’émission et de rachat de L-BTC semble être le véritable coupable — une faille qui a apparemment permis la création de L-BTC non soutenus, utilisés ensuite pour déclencher le peg-out et vider la réserve. Les clefs n’ont donc pas été volées. C’est le processus lui-même qui a été manipulé. C’est une distinction significative, et probablement plus inquiétante pour quiconque essaie d’évaluer l’architecture du réseau à l’avenir.

La réserve soutenant le peg de L-BTC a été essentiellement vidée. Sur les 4 200 BTC présents dans ce portefeuille, 4 000 sont partis. Cela a laissé le peg — censé être une relation propre de 1:1 entre L-BTC et Bitcoin — gravement exposé. Les systèmes fédérés vivent et meurent de ce type de confiance, et avec 95 % de la réserve disparue en un seul mouvement, la crédibilité du réseau a subi un coup sérieux.

Les comparaisons avec les catastrophes de ponts passées sont arrivées rapidement. La faille de Wormhole en 2022 et l’échec de vérification de messages de Nomad impliquaient tous deux des actifs enveloppés non soutenus — des situations où les réserves sous-jacentes ne correspondaient pas aux jetons circulant de l’autre côté. L’incident de Liquid s’inscrit assez bien dans ce schéma. Les ponts inter-chaînes et les mécanismes de peg fédérés ont été un point faible constant dans l’industrie, et ce n’est pas la première fois qu’une faille au niveau logiciel plutôt qu’un compromis direct des clefs cause des dommages.

Retour partiel, grandes questions

Les acteurs sont revenus. Dans un geste inattendu, ils ont retourné 3 400 BTC à l’adresse de la Liquid Federation, la transaction ayant été effectuée au bloc Bitcoin 965,950. Des messages ont été échangés avec Blockstream pendant le processus. Il n’est pas clair ce qui a exactement été dit, et la source n’a pas précisé le contenu de ces communications sur la chaîne.

Related: Blockstreams Liquid Network Suspended as 4,000 Bitcoin Bug Exposed, Draining $320 Million

À lire aussi: Le réseau Liquid de Blockstream suspendu après un bug de 4 000 Bitcoin, drainant 320 millions de dollars

Mais 598,5 BTC — d’une valeur d’environ 47 millions de dollars — sont restés avec les acteurs au 7 septembre. Pas de confirmation de remboursement supplémentaire. Pas de calendrier. La revendication, apparemment, était que les fonds pourraient être retournés une fois la faille corrigée. Cela n’était pas encore arrivé.

Et Liquid Network n’a toujours pas publié de rapport technique complet. C’est probablement la partie qui frustre le plus les parties prenantes. Sans une analyse détaillée de ce qui a été exploité, comment cela a été exploité, et ce qui est fait pour y remédier, la communauté reste dans l’incertitude. La spéculation comble le vide. Et dans le domaine de la crypto, ce vide a tendance à croître rapidement.

Les nœuds de pont restent inactifs. Les transactions de L-BTC sont toujours en suspens. La capacité opérationnelle du réseau est considérablement réduite, et les échanges sont en attente avec des fonctions de retrait et de dépôt suspendues sans date de redémarrage claire divulguée à la date de clôture du rapport.

Ce qui est encore cassé

La Clef d’Autorisation de Peg-out est au centre de tout cela. C’est l’élément qui fait fonctionner le processus de conversion de Bitcoin — le mécanisme que SideSwap gère au nom de la fédération. Elle n’a pas été ouverte par un vol de clef privée, mais elle a été effectivement utilisée comme une arme via une faille dans la couche logicielle. C’est un problème plus difficile à résoudre qu’une simple rotation de clef. Cela signifie que la vulnérabilité était structurelle, intégrée dans la logique d’émission et de rachat elle-même.

See also: FCA Launches Handbook API to Transform Compliance for 50,000 UK Financial Firms

Lecture connexe: Solana domine avec 348 millions de dollars dentrées RWA, laissant ses rivaux derrière

Les membres de la fédération ont agi rapidement une fois le retrait effectué. La réponse — désactiver les nœuds, alerter les échanges, arrêter le mouvement de L-BTC — a été rapide. Mais une rapide mise en quarantaine ne répond pas à la question plus profonde de savoir comment un drain de 4 000 BTC a été possible en premier lieu, ou si d’autres vecteurs existent dans le même code source.

Le retour partiel est véritablement inhabituel. Les acteurs éthiques retournant des fonds après avoir démontré une vulnérabilité ne sont pas inconnus dans la crypto, mais l’échelle ici — et le fait que près de 600 BTC d’une valeur de 47 millions de dollars ne soient pas revenus — rend le cadre « éthique » compliqué. Que les fonds restants soient retournés, et dans quelles conditions, reste une question ouverte.

Les parties prenantes attendent. Les échanges attendent. Les nœuds de pont du réseau sont toujours en panne, L-BTC reste gelé, et le fossé de 598,5 BTC reste non résolu au bloc Bitcoin 965,950.