Ce qu’il faut retenir :
- L’entreprise refuse la prime de 10 % réclamée en échange de la restitution des fonds.
- L’auteur de l’attaque a rendu 3 400 bitcoins et en conserve 598,5, soit environ 46 millions de dollars.
- Le réseau a repris ses transactions, mais les sorties vers Bitcoin restent suspendues.
Blockstream a refusé vendredi de verser une prime pour obtenir la restitution des 598,5 bitcoins encore manquants après l’attaque contre le réseau Liquid. “Rendez les bitcoins”, a déclaré l’entreprise d’infrastructure fondée par Adam Back.
La faille est désormais expliquée
Le rapport d’incident publié le 8 septembre décrit un mécanisme précis, que le réseau n’avait pas détaillé au moment des faits.
La vulnérabilité se situait dans la mise en cache des vérifications de preuves de plage au sein d’Elements, le logiciel qui fait tourner Liquid. Ces preuves servent à valider qu’un montant caché reste dans une fourchette légitime, mécanisme au cœur des transactions confidentielles de ce réseau.
Le défaut a permis de créer environ 4 000 LBTC sans contrepartie en bitcoins dans les réserves.
L’auteur a ensuite utilisé SideSwap, un portefeuille et une plateforme d’échange membre de la fédération Liquid, qui détient à ce titre une clé d’autorisation de sortie. Il a converti ces jetons non adossés en bitcoins par une procédure de sortie ordinaire.
Un point mérite d’être retenu : les opérateurs du réseau n’ont pas été piratés et aucune clé n’a été compromise. Le dispositif de garde a fonctionné comme prévu, sur des jetons qui n’auraient jamais dû exister.
Une demande de rançon inscrite sur la chaîne
L’auteur de l’attaque avait rendu 3 400 bitcoins le 7 septembre, après avoir demandé par message que la faille soit corrigée avant toute restitution.
Il a formulé mercredi une exigence dans un message inscrit dans une transaction Bitcoin. Il réclame 10 % à titre de prime de vulnérabilité, en soutenant que Blockstream aurait dépensé 1,5 million de dollars, voire rien du tout, pour sécuriser 5 milliards de dollars d’actifs.
La formulation prend la forme d’une menace explicite. L’entreprise devra payer 10 % sur ses propres fonds, écrit-il, faute de quoi elle infligera à ses détenteurs une perte de 15 % par irresponsabilité et avarice.
Ce que disent les chiffres de cette négociation
L’arithmétique éclaire la position de chacun.
Sur les 4 000 bitcoins sortis, 3 400 ont été rendus, soit 85 %, et 598,5 conservés, soit 14,96 %. Ce dernier pourcentage correspond exactement à la perte de 15 % brandie dans le message.
Autrement dit, l’auteur détient déjà davantage que ce qu’il réclame. Les 10 % demandés représentent 400 bitcoins, quand il en conserve près de 600. La somme retenue vaut environ 46 millions de dollars au cours actuel, contre 31 millions pour la prime exigée.
Son argument sur le rapport entre les dépenses de sécurité et les actifs protégés se chiffre à 0,03 %, proportion qu’il juge insuffisante.
La réponse de Blockstream
L’entreprise indique avoir tenté de bonne foi d’obtenir la restitution des fonds, avant de rejeter les conditions posées.
“Prendre des actifs sans autorisation et en retenir la restitution est un crime, pas une divulgation responsable”, écrit-elle. Il ne s’agit pas d’une activité de chercheur en sécurité, ajoute-t-elle, mais d’un vol.
Son refus s’appuie sur un argument de précédent. L’entreprise n’entend pas contribuer à l’idée qu’un logiciel libre développé pour la communauté Bitcoin exposerait ses développeurs au paiement d’une rançon dépassant de loin leur participation économique.
La suite annoncée passe par les voies classiques. Faute de restitution, Blockstream travaillera avec les forces de l’ordre, les plateformes d’échange, les prestataires de services et des spécialistes de l’analyse forensique pour tracer les fonds et identifier les responsables.
“Les transactions ne disparaissent pas, et les preuves qu’elles laissent derrière elles non plus”, conclut l’entreprise.
Où en est le réseau
Le rétablissement technique a progressé en trois étapes.
Une nouvelle version d’Elements, la v23.3.4, a été déployée le 9 septembre. Liquid a recommencé à produire des blocs le 10, et les transactions ont repris dans la journée.
Les sorties vers Bitcoin restent en revanche suspendues, par précaution, pendant que se poursuit la dernière phase de récupération.
Cette restriction constitue le point concret pour les détenteurs de LBTC. Ces jetons circulent de nouveau sur le réseau, mais leur conversion en bitcoins sur la chaîne principale demeure impossible tant que la réserve n’est pas reconstituée.
Et maintenant ?
Deux issues restent ouvertes.
La restitution volontaire d’abord, que l’entreprise dit encore possible. Elle supposerait que l’auteur renonce à sa demande, ce que sa dernière prise de parole ne laisse pas présager.
La traque ensuite, qui repose sur la traçabilité des transactions et sur la coopération des plateformes par lesquelles ces fonds devraient passer pour être convertis. C’est la voie empruntée avec succès dans plusieurs dossiers récents, mais elle se compte en mois plutôt qu’en jours.
La réouverture des sorties vers Bitcoin constituera l’indicateur le plus lisible du retour à la normale.
Cet article vous a plu ? Recevez les prochains par email
Rejoignez +40 000 abonnés. L'essentiel du marché crypto dans votre boîte mail, tous les 2 jours.
