Community Trust ScoreVérifié
Liquid Network a repris la production de blocs. En quelque sorte. Les transactions sont toujours arrêtées, les opérations de peg sont gelées, et près de 600 Bitcoin n’ont pas encore été récupérés.
Le réseau a confirmé que ses nœuds fonctionnaires ont redémarré la production de blocs après un incident stupéfiant qui a vu environ 3 996 BTC — soit environ 95 % de tout ce qui se trouvait dans le portefeuille de la fédération — siphonnés en une seule exploitation. À l’époque, ce butin valait environ 320 millions de dollars. Blockstream, qui a lancé Liquid en 2018, a réagi rapidement avec un correctif logiciel et a ouvert un canal de communication étrange et tendu avec les personnes qui ont pris l’argent. Les acteurs ont affirmé être des hackers éthiques. Tout le monde n’y a pas cru.
Les opérations de peg — le mécanisme sur lequel les utilisateurs comptent pour échanger des L-BTC contre de vrais Bitcoin — restent suspendues pendant que le réseau travaille à reconstruire sa réserve.
Comment l’exploitation a réellement fonctionné
La faille se trouvait dans Elements, le logiciel open-source qui alimente Liquid. Quelqu’un a trouvé un moyen de contourner le système de validation des preuves de plage. Les preuves de plage sont censées confirmer que les montants des transactions cachés sont légitimes sans réellement révéler les chiffres — c’est une caractéristique clé de la confidentialité. Le bug a permis de réutiliser des preuves invalides, ce qui signifiait qu’un attaquant pouvait créer des L-BTC sans aucun Bitcoin pour les soutenir. En gros, ils ont créé de l’argent à partir de rien.
Une fois les L-BTC non soutenus créés, l’acteur a effectué un peg-out via SideSwap. Le processus de SideSwap a traité la demande comme légitime. De vrais Bitcoin ont quitté le portefeuille de la fédération. Environ 3 996 BTC, ce qui est un résultat assez catastrophique pour un réseau construit autour de l’idée que chaque L-BTC est entièrement soutenu.
Le correctif d’urgence de Liquid est arrivé sous la forme d’Elements v23.3.4. La mise à jour a modifié la manière dont les clés de cache fonctionnent lors de la validation des preuves de plage, fermant la faille qui rendait la réutilisation possible. Les nœuds fonctionnaires et les nœuds de pont ont tous deux reçu le correctif.
La structure de la fédération elle-même — 15 fonctionnaires rotatifs, 11 signatures requises pour déplacer des fonds — n’a pas échoué comme on pourrait s’y attendre. Aucune clé de signature n’a été volée. Le problème résidait uniquement dans la couche logicielle, pas dans la gestion des clés ou la configuration multi-signature. C’est une distinction significative, même si cela ne rend pas les Bitcoin manquants moins réels.
Négociations sur les messages de transaction Bitcoin
Voici la partie vraiment étrange. Blockstream et les acteurs n’ont pas communiqué par l’intermédiaire d’avocats ou par e-mail ou tout autre canal normal. Ils ont intégré des messages directement dans les transactions Bitcoin. Les acteurs ont déclaré qu’ils rendraient les fonds une fois les vulnérabilités corrigées et confirmées. Blockstream a corrigé. Les acteurs, apparemment satisfaits, ont renvoyé 3 400 BTC. C’est environ 85 % de ce qui avait été pris.
Les 598,5 BTC restants — valant environ 46 millions de dollars — n’ont pas été rendus. Il n’y a pas d’accord public les concernant. Liquid ne l’a pas appelé une prime. Les acteurs ne se sont pas engagés publiquement à les rendre. Ils sont juste… là, non résolus.
Le CTO de Ledger, Charles Guillemet, n’a pas mâché ses mots sur le cadrage de hacker éthique. Il a dit que la situation ressemble plus à de l’extorsion qu’à de la recherche de sécurité éthique. Il n’est probablement pas le seul à le penser. Le hacking éthique implique généralement une divulgation responsable avant que des fonds ne soient déplacés, pas après avoir vidé 95 % des réserves d’un réseau et ensuite négocier en position de détenir près de 50 millions de dollars.
Ce qui est encore cassé et ce qui vient ensuite
Liquid maintient les transactions désactivées pour l’instant. La logique est simple — redémarrer les blocs sans activer les transactions permet aux développeurs d’observer le système dans des conditions réelles sans ajouter la pression de l’activité des utilisateurs en direct. C’est une mesure prudente, peut-être la bonne, mais elle laisse le réseau dans un état semi-opérationnel assez gênant.
Aucun calendrier pour la restauration complète n’a été partagé publiquement. Les opérations de peg restent désactivées jusqu’à ce que la réserve soit reconstruite à un niveau que l’équipe considère sûr. Avec 598,5 BTC toujours en suspens et aucun accord public en place, cette reconstruction dépend en partie du retour éventuel de ces fonds.
Aucune action réglementaire américaine n’a été annoncée en lien avec l’incident. Si cela reste vrai alors que la situation s’éternise, c’est incertain.
La question plus large pour les utilisateurs de Liquid et l’espace Bitcoin de couche 2 est ce que cet épisode dit sur la sécurité de la vérification des preuves dans les systèmes blockchain complexes. La fédération multi-signature a tenu. Le logiciel non. Et 598,5 BTC, environ 46 millions de dollars, restent avec des acteurs dont personne n’a officiellement confirmé le prochain mouvement.
Questions Fréquentes
Qu’est-ce qui a causé l’exploitation du réseau Liquid qui a vidé 3 996 BTC ?
Un acteur a exploité une faille dans le logiciel Elements qui permettait de réutiliser des preuves de plage invalides, permettant la création de L-BTC non soutenus qui ont ensuite été échangés via SideSwap pour de vrais Bitcoin.
Combien de Bitcoin ont été retournés au réseau Liquid jusqu’à présent ?
3 400 BTC ont été retournés au portefeuille de la fédération après la correction des vulnérabilités, couvrant environ 85 % des fonds retirés. Environ 598,5 BTC, évalués à environ 46 millions de dollars, n’ont pas été retournés.
