Le Liquid Network a rétabli la garantie complète en Bitcoin pour ses jetons LBTC près de deux mois après qu'un exploit logiciel a vidé la majeure partie des réserves de la chaîne latérale, bien que les retraits directs restent limités.
Résumé
- Le Liquid Network a rétabli la garantie 1:1 en Bitcoin pour le LBTC à la suite d'un exploit en septembre qui a vidé près de 4 000 BTC.
- Quatre dépôts totalisant environ 602,5 BTC ont complété la reconstitution des réserves, dont un dernier transfert de 250 BTC le 2 novembre.
- Samson Mow a attribué les fonds de remplacement à Blockstream, bien que la fédération n'ait pas publié de répartition du financement.
- Les échanges BTC et LBTC ont repris via les fournisseurs participants, tandis que les retraits directs auprès de la fédération restent limités.
- La fédération prévoit des changements de gouvernance et des garanties supplémentaires à la suite de cette défaillance de sécurité.
Dans une déclaration de mardi, la Liquid Federation a confirmé que les réserves étaient « entièrement reconstituées, rétablissant la garantie 1:1 en BTC pour tous les LBTC ».
L'annonce a suivi plusieurs transferts de Bitcoin vers le portefeuille de réserve de la fédération, dont un dernier dépôt de 250 BTC le 2 novembre. Les registres de la blockchain montraient environ 4 268,95 BTC garantissant une quantité équivalente de LBTC lorsque le déficit a été comblé.
Le Liquid Network comble un déficit de 600 BTC après l'exploit
La reconstitution a fait suite à une attaque du 6 septembre impliquant Elements, le logiciel open source utilisé par le Liquid Network.
Dans son évaluation de l'incident de sécurité, Blockstream a expliqué qu'une faille dans la vérification des transactions a permis à un attaquant de créer environ 4 000 LBTC sans déposer le Bitcoin correspondant.
L'attaquant a ensuite converti ces jetons en BTC réels via SideSwap, un membre de la fédération autorisé à traiter les retraits.
Les réserves de Liquid sont passées d'environ 4 205 BTC à 197 BTC en raison des transactions non autorisées et d'autres retraits effectués avant l'arrêt des opérations.
Le 7 septembre, l'attaquant a restitué 3 400 BTC après avoir communiqué avec Blockstream via des messages enregistrés sur la blockchain de Bitcoin.
Les individus impliqués ont affirmé être des chercheurs en sécurité white-hat, bien que leurs identités et motivations n'aient pas été établies de manière indépendante.
L'évaluation de Blockstream de septembre estimait le montant restant non récupéré à environ 602 BTC.
La reconstitution des réserves s'est accélérée fin octobre, commençant par un dépôt de 2,5 BTC le 27 octobre et un autre de 50 BTC le lendemain.
Deux transferts plus importants ont achevé le processus le 2 novembre, ajoutant 300 BTC et 250 BTC au portefeuille de la fédération.
Par la suite, SideSwap a confirmé la séquence des dépôts et a rapporté que les réserves correspondaient à l'offre de LBTC en circulation.
Au 3 novembre, les chiffres actualisés montraient 4 270,54 BTC garantissant la même quantité de LBTC, reflétant une activité supplémentaire après la reconstitution initiale.
Qui a payé pour reconstituer les réserves de Bitcoin du Liquid Network ?
Bien que les registres de la blockchain montrent les dépôts, la dernière déclaration de la fédération n'identifie pas toutes les parties responsables de la fourniture du Bitcoin de remplacement.
La distinction est importante car restituer les fonds volés et fournir de nouveaux Bitcoin sont des méthodes de récupération différentes.
Sur le montant initial retiré, l'attaquant a restitué 3 400 BTC en septembre. Le déficit restant a été couvert par des dépôts ultérieurs.
Samson Mow, qui siège au conseil d'administration de la Liquid Federation, aurait identifié Blockstream comme la source lorsqu'il a été interrogé sur le financement.
« Comme indiqué à plusieurs reprises, Blockstream », a écrit Mow en réponse à une question sur X.
Cependant, la fédération n'a pas publié de répartition détaillée des fonds de remplacement ni expliqué si d'autres membres y ont contribué.
Dans sa déclaration du 3 novembre, SideSwap a remercié Blockstream et les membres de la fédération d'avoir mené à bien la récupération, mais a refusé d'identifier la source de financement de manière indépendante.
Les soldes restaurés établissent qu'une quantité suffisante de Bitcoin est revenue dans la réserve. Ils n'identifient pas, à eux seuls, les propriétaires des portefeuilles qui l'ont fourni.
Les échanges sur le Liquid Network reprennent tandis que les retraits directs restent limités
Le Liquid Network utilise un système dans lequel les BTC déposés sur la blockchain principale de Bitcoin sont représentés par des LBTC sur sa chaîne latérale.
Les utilisateurs peuvent transférer des LBTC au sein de Liquid, tandis que les membres autorisés de la fédération gèrent le processus de conversion en BTC.
À la suite de l'exploit, la fédération a suspendu les retraits et temporairement interrompu l'activité du réseau pendant que les développeurs réparaient la vulnérabilité.
Comme crypto.news l'a précédemment rapporté, Liquid a repris la production de blocs en septembre avant de rétablir progressivement les transactions ordinaires.
Le réseau a ensuite introduit des procédures d'autorisation mises à jour et entamé un audit de sécurité indépendant d'Elements v23.3.4.
Dans le cadre de son plan de récupération du 20 octobre, la fédération a autorisé les fournisseurs participants à reprendre les échanges BTC/LBTC tout en maintenant les peg-outs directs limités.
SideSwap a indiqué que son service de conversion avait rouvert le 20 octobre, permettant aux clients d'échanger des LBTC contre des BTC à un taux de 1:1, moins des frais de 0,1 %.
Cependant, ces paiements proviennent actuellement du propre portefeuille Bitcoin de SideSwap, qui nécessite un réapprovisionnement manuel.
Le fournisseur a averti que les retraits pourraient entrer en file d'attente lorsque son solde disponible en Bitcoin sera faible.
Les peg-outs directs de la fédération restent soumis à des exigences supplémentaires en matière de sécurité et d'exploitation, sans date de réouverture confirmée.
La fédération prévoit des changements de gouvernance et des garanties renforcées
La fédération a déclaré qu'elle entend moderniser sa structure de gouvernance et introduire des responsabilités et une supervision plus claires à la suite de l'incident.
Ses travaux prévus comprennent des protections techniques et opérationnelles supplémentaires destinées à prévenir des défaillances similaires.
Blockstream a précédemment publié Elements v23.3.4 pour remédier à la vulnérabilité et a introduit des modifications dans le processus de vérification des transactions du logiciel.
La fédération a mis à jour les dispositions d'autorisation utilisées par les membres qui traitent les retraits, y compris les procédures impliquant des clés Bitcoin hors ligne.
La déclaration de novembre a promis de plus amples informations sur les changements de gouvernance et les mesures de sécurité « dans les semaines à venir ».
