Liquid Network suspend son réseau après le retrait de 4 000 bitcoins

Liquid confirme un incident et suspend les nouveaux transferts

Dans un message public publié le 7 septembre, Liquid Network indique avoir connaissance d’un incident de sécurité. Selon le réseau, environ 4 000 BTC ont été retirés du portefeuille de la fédération Liquid. Cette information est confirmée par Liquid lui-même, qui précise que l’équipe de Blockstream cherche à entrer en contact avec les auteurs au moyen d’un message signé inscrit sur la blockchain.

Liquid est une couche technique reliée à Bitcoin. Son fonctionnement repose notamment sur des bitcoins conservés par une fédération afin de garantir les L-BTC, les unités utilisées sur ce réseau. Lorsqu’un détenteur veut passer du bitcoin au L-BTC ou inversement, les mécanismes de pont sont donc un point critique. Après l’incident, Liquid a désactivé ces nœuds de pont : de nouvelles transactions ne peuvent plus être effectuées normalement.

Près de 95 % du portefeuille fédéré seraient concernés

Cointelegraph rapporte que les quelque 4 000 BTC retirés représentaient environ 95 % des 4 200 BTC présents dans le portefeuille fédéré avant l’incident. L’estimation de 320 millions de dollars dépend naturellement du cours du bitcoin au moment du calcul. Elle sert à donner un ordre de grandeur, pas à établir un montant définitif de perte.

Le retrait ne signifie pas automatiquement que chaque utilisateur de Liquid a perdu ses fonds. En revanche, il affecte directement la réserve qui soutient le L-BTC. C’est pourquoi les échanges qui proposent ce jeton ont interrompu, ou préparaient l’interruption, des dépôts et retraits de L-BTC. Liquid indique que les autres actifs émis sur le réseau, dont l’USDT et d’autres actifs tokenisés, ne sont pas concernés par cette suspension selon les éléments connus au moment de l’annonce.

Des auteurs se présentent comme des hackers éthiques

Le mot important est ici « se présentent ». D’après les échanges rapportés par Cointelegraph, les personnes qui contrôlent les bitcoins retirés affirment être des hackers éthiques. Elles demandent que la vulnérabilité soit corrigée et que les nœuds du réseau aient reçu le correctif avant de rendre la plus grande partie des fonds. Elles n’ont pas, à cette heure, restitué les bitcoins.

Cette présentation ne constitue pas une preuve de bonne intention. Un chercheur en sécurité qui découvre une faille peut la signaler de façon coordonnée, sans déplacer des fonds appartenant à la réserve d’un réseau. Ici, l’origine exacte de la vulnérabilité et les conditions d’une éventuelle restitution restent en cours de discussion. Le fait confirmé est le retrait et la suspension des opérations, non le caractère éthique de ses auteurs.

Une faille dans Elements est évoquée, mais pas encore documentée publiquement

SideSwap, un service concerné par le passage de fonds entre Bitcoin et Liquid, a indiqué que son propre mécanisme d’autorisation n’avait pas été compromis. Selon cette entreprise, les L-BTC utilisés lors du retrait provenaient d’un défaut dans Elements, le logiciel libre sur lequel Liquid s’appuie. Cointelegraph rapporte également cette version.

Cette précision donne une piste technique, mais elle ne suffit pas à décrire le scénario complet. Il n’est pas encore possible de dire publiquement quelle fonction a été exploitée, depuis quand elle était présente, quels nœuds étaient vulnérables ni comment le correctif empêchera un nouvel usage. Dans une affaire de cette ampleur, ces détails doivent venir du projet ou d’un audit documenté, pas d’une reconstitution rapide sur les réseaux sociaux.

Pour les détenteurs de L-BTC, ne contournez pas les suspensions

Si vous détenez du L-BTC ou utilisez un service lié à Liquid, ne cherchez pas à contourner la suspension au moyen d’un intermédiaire inconnu, d’un lien reçu par message ou d’une prétendue procédure de récupération urgente. Une interruption technique attire rapidement les faux supports et les faux formulaires qui réclament une phrase de récupération ou une signature de portefeuille.

Vérifiez les annonces depuis les canaux officiels de votre plateforme et de Liquid, saisis vous-même dans votre navigateur. Ne communiquez jamais votre phrase de récupération, votre clé privée ou une signature demandée par un prétendu conseiller : aucun incident légitime ne rend ces secrets nécessaires à un interlocuteur. Attendez une annonce officielle de reprise avant toute opération portant sur L-BTC.

Ce que nous ne pouvons pas vérifier

Nous ne pouvons pas vérifier de manière indépendante l’identité des personnes qui ont retiré les bitcoins, leur intention réelle, le montant qui pourrait être rendu ni la date de reprise des transactions. Le détail technique de la vulnérabilité évoquée dans Elements n’a pas été publié dans les sources consultées. Nous ne pouvons pas non plus établir quels utilisateurs ou plateformes subiront une perte définitive : les fonds n’avaient pas été restitués au moment de la vérification.

Sources : Liquid Network ↗ · Cointelegraph ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.