Le 7 septembre, des acteurs non identifiés contrôlant près de 4 000 BTC pris sur le réseau Liquid ont proposé de restituer « la plupart » des fonds après que Blockstream aura corrigé la vulnérabilité à l'origine de l'incident estimé à 320 millions de dollars.
Résumé
- Près de 4 000 BTC ont quitté le portefeuille de la fédération de Liquid, représentant environ 95 % de ses réserves de Bitcoin déclarées.
- Les acteurs non identifiés ont proposé de restituer la plupart des fonds après que Blockstream aura corrigé la vulnérabilité non divulguée du réseau.
- Les messages OP_RETURN de Bitcoin et les signatures PGP ont créé un canal de communication publiquement vérifiable entre les deux parties.
- Liquid a désactivé les nœuds de pont et a demandé aux bourses de suspendre les dépôts et retraits de L-BTC pendant l'enquête.
- Aucun remboursement confirmé, correctif public ou réouverture du réseau n'avait eu lieu lors de la préparation de cet article.
Les acteurs ont communiqué leur offre via des transactions Bitcoin portant des messages OP_RETURN, selon une reconstruction publiée par le chef de Galaxy Research, Alex Thorn. Ils ont demandé si le retour de « la plupart » des Bitcoin à l'adresse de la fédération serait acceptable.
Un message ultérieur a demandé à Blockstream de « corriger d'abord le bug » et de s'assurer que chaque nœud reçoive le correctif. Les acteurs ont affirmé que la chaîne restait exposée sous sa dernière version logicielle et ont promis de transférer l'argent après avoir confirmé la réparation.
Cette promesse reste non vérifiée. Les acteurs n'ont pas défini ce que représente « la plupart », n'ont pas divulgué leur identité ni fourni de délai. Aucune transaction de retour confirmée n'était apparue lors de la préparation de cet article.
Les messages on-chain authentifient la négociation
Au bloc 965 869, les acteurs ont envoyé 1 000 satoshis à l'adresse de peg de la fédération et ont demandé s'ils pouvaient restituer la plupart des fonds. Ils ont fourni leur demande de correctif six blocs plus tard. Les messages établissent que quelqu'un contrôlant le Bitcoin concerné pouvait répondre à Blockstream. Ils ne prouvent pas indépendamment les motivations des acteurs.
Le retrait de 4 000 BTC a exposé le peg de Liquid
Liquid a confirmé qu'environ 4 000 BTC avaient quitté son portefeuille de fédération. Il a décrit les responsables comme des « hackers white-hat présumés », préservant l'incertitude quant à leur statut.
Le réseau a déclaré que le retrait utilisait la clé d'autorisation de sortie de SideSwap, ou PAK. Cependant, il a déclaré qu'il n'y avait aucune preuve que la clé elle-même ait été compromise. Liquid n'a pas expliqué publiquement la vulnérabilité sous-jacente ni publié de post-mortem technique.
Liquid fonctionne comme une sidechain de Bitcoin dont les utilisateurs verrouillent des BTC et reçoivent des L-BTC pour leurs activités sur le réseau. La fédération détient le Bitcoin sous-jacent et autorise les retraits vers la couche de base. Le transfert aurait retiré environ 95 % des Bitcoin du portefeuille.
Liquid a désactivé ses nœuds de pont et a demandé aux bourses de suspendre les dépôts et retraits de L-BTC. Il a déclaré que d'autres actifs émis, y compris les stablecoins et les actifs du monde réel, n'avaient pas été directement retirés. La sidechain est restée effectivement en pause pendant que l'enquête se poursuivait.
L'épisode ajoute une autre perte importante à une année dominée par les défaillances d'infrastructure. Comme l'a rapporté crypto.news, les protocoles cryptographiques ont perdu au moins 1,3 milliard de dollars à cause de piratages au cours des huit premiers mois de 2026. Dans une couverture connexe, un examen de la sécurité des ponts inter-chaînes a expliqué comment la garde concentrée et les systèmes d'autorisation peuvent créer de grands points de défaillance.
Blockstream doit corriger le réseau avant tout redémarrage
La tâche immédiate de Blockstream est d'identifier la faille, de préparer un correctif et de le distribuer à travers la fédération. Les acteurs ont spécifiquement exigé que chaque nœud soit mis à jour avant le remboursement. Blockstream n'a pas annoncé de version de correctif ni de moment de réouverture.
Un retour ne peut être considéré comme confirmé qu'après que le Bitcoin a été transféré vers une adresse contrôlée par la fédération. Même dans ce cas, le montant conservé par les acteurs et toute prime proposée devraient être divulgués.
Liquid doit également rendre compte des réserves restantes, expliquer comment le peg-out a contourné les contrôles normaux et préciser comment les rachats de L-BTC reprendront. Un post-mortem technique serait nécessaire pour montrer si le problème concernait le logiciel, la logique d'autorisation, les opérations de la fédération ou une autre partie du processus de retrait.
Tant que ces étapes ne sont pas franchies, le remboursement reste une promesse conditionnelle et la description de « chapeau blanc » reste contestée.
