Liquid Network à l’arrêt après le retrait de 320 millions de dollars en bitcoins

Ce qu’il faut retenir :

• Environ 4 000 bitcoins ont été retirés du portefeuille de la fédération, soit 95 % des réserves.
• Les auteurs se présentent comme des hackers éthiques dans un message inscrit sur la chaîne.
• La sidechain est à l’arrêt et les plateformes ont suspendu les dépôts et retraits de LBTC.

Liquid Network a annoncé dimanche que près de 4 000 bitcoins, valorisés environ 320 millions de dollars, avaient été retirés du portefeuille de sa fédération. Le retrait représente environ 95 % des réserves déclarées de cette sidechain de Bitcoin, qui s’élevaient à quelque 4 200 BTC avant l’incident. Le réseau est à l’arrêt.

Ce que dit le réseau

Blockstream, fournisseur de la technologie sous-jacente, cherche à joindre les auteurs du retrait par un message signé inscrit sur la chaîne. Le communiqué ne les identifie pas et ne confirme pas la restitution des fonds.

Les bitcoins sont sortis via la SideSwap PAK, la clé d’autorisation de sortie qui permet de reconvertir des LBTC en bitcoins. Liquid affirme que cette clé n’a pas été compromise, ni aucune autre. Le réseau n’explique pas la vulnérabilité qui a rendu ce retrait possible.

Un message inscrit dans une transaction bitcoin liée à l’incident indique que ses auteurs sont des white hats et invite à les contacter sur la chaîne. Le terme désigne des chercheurs en sécurité qui s'emparent temporairement de fonds pour les mettre hors d’atteinte d’acteurs malveillants, avant de les restituer.

Rien ne permet à ce stade de vérifier cette revendication.

Le réseau mis à l’arrêt

Liquid a désactivé ses nœuds de pont, ce qui empêche la soumission de nouvelles transactions. La sidechain se trouve donc suspendue jusqu’à la résolution de l’incident, selon les termes du communiqué.

Les plateformes d’échange ont été prévenues et ont suspendu, ou vont suspendre, les dépôts et retraits de LBTC, le token adossé au bitcoin sur ce réseau.

Les autres actifs émis sur Liquid, dont l’USDT, le stablecoin brésilien DePix et divers actifs du monde réel, ne sont pas affectés par l’incident lui-même. Le réseau avertit toutefois que les portefeuilles subiront les effets de l’interruption.

Comment fonctionne cette sidechain

Liquid est une sidechain conçue pour des transferts plus rapides et confidentiels, ainsi que pour l’émission d’actifs numériques.

Le mécanisme repose sur un verrouillage. Des bitcoins immobilisés sur le réseau principal sont représentés par des LBTC sur cette chaîne, les membres de la fédération assurant la garde des bitcoins sous-jacents.

C’est ce point qui distingue l’incident d’une attaque contre Bitcoin lui-même. Le réseau principal n’est pas concerné, et le problème porte sur le dispositif de garde qui adosse les jetons émis sur la sidechain.

Ce que révèle cette architecture

Une remarque s’impose sur la nature de ce type de construction.

Une sidechain fédérée repose sur un groupe restreint d’opérateurs qui détiennent collectivement les clés donnant accès aux fonds. Ce modèle permet des transactions plus rapides et confidentielles que sur la chaîne principale, au prix d’un point de concentration que Bitcoin est précisément conçu pour éviter.

Quand 95 % des réserves quittent le portefeuille par une clé que ses gestionnaires disent non compromise, la question posée porte moins sur la solidité cryptographique que sur les autorisations qui entourent son usage.

Un troisième incident majeur en trois semaines

Ce cas s’ajoute à une série. Cronos a arrêté sa blockchain entière le 31 août après une attaque de 75 millions de dollars sur sa principale plateforme de prêt. Le module partagé de Cosmos EVM a provoqué des incidents sur quatre réseaux et des vols sur deux d’entre eux. Coldcard avait perdu plus de 114 millions de dollars en juillet.

Le contexte général s’est durci. OpenAI a annoncé lundi dernier disposer du premier modèle capable de découvrir des failles inconnues et de construire des attaques sans intervention humaine, avant d’engager jeudi un milliard de dollars pour subventionner l’accès à ses outils défensifs.

Et maintenant ?

Trois inconnues subsistent. La restitution effective des fonds, qui dépend entièrement de l’intention réelle de leurs détenteurs. La nature de la faille exploitée, que le réseau n’a pas décrite. Et la date de reprise, sur laquelle aucune indication n’a été donnée.

Pour les détenteurs de LBTC, la situation appelle une lecture précise. Ces jetons tirent leur valeur des bitcoins conservés par la fédération. Tant que ces bitcoins ne sont pas revenus, l’adossement qui justifie leur cours repose sur une promesse formulée dans un message inscrit sur la chaîne par des inconnus.