Liquid Network a récupéré 3 400 BTC d'une valeur d'environ 269,2 millions de dollars auprès des hackers auto-proclamés « white-hat » à l'origine d'un retrait de 4 000 BTC, bien que près de 47 millions de dollars restent impayés.
Résumé
- Les acteurs ont restitué 3 400 BTC, récupérant environ 85 % des fonds retirés.
- Environ 598,5 BTC, d'une valeur d'environ 47 millions de dollars, restent dans l'adresse liée au retrait.
- Blockstream a informé les acteurs que ses nœuds de pont avaient été corrigés avant le remboursement.
- Liquid n'a pas annoncé quand ses services de pont et L-BTC reprendront leurs opérations normales.
Liquid Network a récupéré 85 % du Bitcoin retiré
Les données on-chain montrent que les acteurs ont restitué 3 400 BTC, d'une valeur d'environ 268,2 millions de dollars au moment de la confirmation, au portefeuille de la Fédération Liquid dans le bloc Bitcoin 965 950. Le transfert a récupéré environ 85 % des fonds retirés, tandis que 598,5 BTC d'une valeur d'environ 47 millions de dollars restaient dans l'adresse des acteurs. Blockstream avait précédemment indiqué au groupe via un message de transaction signé que ses nœuds de pont étaient corrigés et que les fonds étaient « sûrs à restituer ».
Environ 598,5 BTC, évalués à environ 47 millions de dollars, restaient dans l'adresse liée au retrait après le transfert plus important. Les acteurs n'ont pas expliqué publiquement pourquoi ils ont conservé les pièces restantes ni indiqué si un autre remboursement suivrait.
L'incident de dimanche a commencé lorsqu'un client a envoyé 4 000 Liquid Bitcoin, ou L-BTC, au service de sortie de SideSwap. SideSwap permet aux utilisateurs de transférer de la valeur de la sidechain Liquid vers le réseau Bitcoin via un processus de retrait autorisé.
Les acteurs se sont ensuite identifiés comme « whitehats » dans un message joint à une transaction Bitcoin. Les hackers white-hat trouvent et signalent généralement les failles de sécurité afin que les développeurs puissent les réparer, recevant souvent une prime selon les termes convenus avec le projet concerné.
Aucun accord divulgué publiquement n'a établi que les acteurs de Liquid avaient la permission de retirer les fonds. Blockstream et les acteurs n'ont pas non plus publié de conditions accordant une prime ou permettant au groupe de conserver près de 600 BTC.
Comme crypto.news l'a rapporté avant le retour, les acteurs avaient proposé de renvoyer « la plupart » du Bitcoin une fois que Blockstream aurait corrigé la vulnérabilité. À ce moment-là, aucun remboursement n'avait été confirmé, et le retrait représentait environ 95 % du Bitcoin prétendument détenu dans le portefeuille de la fédération Liquid.
Les messages on-chain ont conduit au remboursement de 3 400 BTC
La communication entre Blockstream et les acteurs s'est faite via des messages attachés aux transactions Bitcoin, permettant aux deux parties d'échanger des instructions sans dépendre d'un service de messagerie privé.
Dans un message de transaction, les acteurs ont demandé à Blockstream de réparer la faille avant de restituer le Bitcoin.
« Veuillez d'abord corriger le bug », disait le message. « La chaîne est actuellement en danger au dernier commit. Assurez-vous que chaque nœud est corrigé. Ensuite, nous transférerons l'argent en toute sécurité après avoir confirmé la correction. »
Après cette confirmation, les acteurs ont envoyé 3 400 BTC à l'adresse de la Fédération Liquid. L'échange montre que le remboursement dépendait de l'acceptation par les acteurs de la déclaration de Blockstream selon laquelle les nœuds affectés étaient sûrs, bien qu'aucune des deux parties n'ait publié de rapport technique identifiant la faille ou expliquant comment le retrait est devenu possible.
Liquid a désactivé ses nœuds de pont après avoir détecté la transaction et a demandé aux échanges de suspendre les dépôts et retraits de L-BTC. L'arrêt a restreint les mouvements entre Liquid et la couche de base Bitcoin pendant que les développeurs enquêtaient sur l'incident et appliquaient le correctif.
Blockstream a déclaré que la clé utilisée lors du retrait n'avait pas été compromise, selon Reuters. La société n'a pas publié de post-mortem complet détaillant si la faille affectait SideSwap, le logiciel de pont, la base de code Elements de Liquid, ou une autre partie du processus de sortie.
Le CTO de Ledger remet en question la description de « white hats »
Le directeur de la technologie de Ledger, Charles Guillemet, a contesté la description que les acteurs se sont donnée après avoir restitué la plupart des pièces mais conservé près de 600 BTC.
« Donc, 3 400 BTC ont été remboursés », a écrit Guillemet sur X. « Les "white hats" détiennent toujours 600 BTC. Si cela a jamais été une récompense négociée dans le cadre d'un contrat crypté signé sur la chaîne, cela ressemble plus à de l'extorsion qu'à du piratage éthique ! »
Son commentaire portait sur l'absence de conditions divulguées concernant les Bitcoins conservés. Une prime de bug classique fixe normalement la récompense et les conditions de restitution avant qu'un chercheur ne conserve une partie des fonds concernés, alors qu'aucun accord comparable entre Blockstream et les acteurs n'a été rendu public.
Un problème similaire est apparu après l'exploit du pont Verus Ethereum en mai. Dans ce cas, l'attaquant a restitué 75 % des fonds volés et a conservé 1 350 ETH, d'une valeur d'environ 2,8 millions de dollars à l'époque, après que Verus a publiquement proposé des conditions de règlement. Le remboursement de Liquid diffère car Blockstream n'a pas déclaré que les 598,5 BTC restants constituent une prime approuvée.
Les affirmations de « white hat » ne déterminent pas non plus le statut juridique d'un acteur à elles seules. Toute évaluation juridique dépendrait de facteurs tels que l'autorisation, la méthode utilisée pour obtenir les actifs, les communications entre les parties et les lois applicables. Aucun régulateur américain ni aucune agence de répression n'a annoncé de mesure liée au retrait de Liquid.
Les détenteurs de L-BTC attendent des détails sur la garantie et les retraits
Liquid est une sidechain Bitcoin fédérée développée par Blockstream. Les utilisateurs verrouillent des BTC via son système de peg et reçoivent des L-BTC sur la sidechain à un ratio de un pour un, permettant un règlement plus rapide et des transferts d'actifs sans déplacer chaque transaction sur la couche de base de Bitcoin.
Un explicateur sur la sécurité des ponts récent a décrit comment les systèmes qui verrouillent des actifs sur un réseau et émettent des jetons correspondants ailleurs dépendent de la sécurité de leurs systèmes de garde, de validation et de traitement des messages. Des défaillances à l'un de ces points peuvent interrompre les rachats même lorsque la blockchain sous-jacente continue de fonctionner normalement.
Pour les utilisateurs basés aux États-Unis, le problème immédiat est opérationnel plutôt qu'un changement des règles fédérales sur les crypto-monnaies. Les détenteurs américains qui utilisent L-BTC sont confrontés aux mêmes dépôts, retraits et services de peg suspendus que les autres utilisateurs, tandis que les BTC natifs détenus directement sur la blockchain Bitcoin sont séparés du système de sidechain de Liquid.
Liquid n'a pas divulgué si les 3 400 BTC restitués ont entièrement rétabli la garantie de l'offre correspondante de L-BTC. Le réseau n'a pas non plus indiqué comment il prévoit de gérer tout écart créé par les 598,5 BTC toujours contrôlés par les acteurs.
Aucune date de réouverture n'a été donnée pour les nœuds du pont, et les échanges étaient toujours invités à maintenir les dépôts et retraits de L-BTC suspendus. Blockstream n'a pas non plus publié le compte rendu technique promis de la faille ni confirmé si les acteurs ont l'intention de restituer les Bitcoins restants.
