Un pirate informatique vient d'exiger d'une sidechain de Bitcoin qu'elle corrige son propre bug avant qu'il ne restitue l'argent

Peu après 14 h UTC, le 6 septembre 2026, quelqu’un a discrètement retiré 3 996 BTC du portefeuille fédéré du réseau Liquid de Blockstream. À l’époque, cela représentait environ 320 millions de dollars. Le portefeuille contenait environ 4 200 BTC avant la transaction. Après celle-ci, il n'en restait plus qu'environ 207. Quatre-vingt-quinze pour cent des réserves adossant le token L-BTC de Liquid avaient tout simplement disparu, en un seul transfert, et personne chez Blockstream ne l'avait vu venir.

Liquid a confirmé l’incident sur X en l’espace de quelques heures: Blockstream a déclaré avoir pris connaissance d’un incident de sécurité et s’efforcer de contacter les parties concernées sur la chaîne à l’aide d’un message signé, qualifiant ce retrait d’œuvre de « soi-disant hackers white hat ». Le réseau a suspendu les nouvelles transactions, désactivé ses nœuds de pont et demandé aux plateformes d’échange de geler les dépôts et retraits de L-BTC le temps de déterminer ce qui s’était passé. « Les portefeuilles Liquid seront affectés, et nous nous excusons pour la gêne occasionnée », indiquait le message, ce qui est pour le moins étrange à écrire après avoir perdu une somme à neuf chiffres en bitcoins en un week-end.

Ce qui rend cet incident inhabituel, ce n’est pas l’ampleur de la perte, même si les 320 millions de dollars le placent parmi les plus importants piratages de cette année. C’est ce qui ne s’est pas produit. Aucune clé privée n’a été volée. Aucun membre de la fédération n’a été victime d’hameçonnage. Liquid a clairement indiqué que la clé d’autorisation SideSwap Peg-out utilisée pour transférer les fonds « n’avait pas été compromise, pas plus que d’autres clés ». SideSwap a confirmé ces propos, expliquant que la transaction s’était déroulée comme un ordre client normal, entièrement signée et autorisée, et que ses systèmes n’avaient aucun moyen de savoir que les L-BTC sous-jacents n’auraient pas dû exister.

C’est là le véritable bug. Quelqu’un a découvert une faille dans Elements, le logiciel open source sur lequel repose Liquid, qui lui a permis de créer des L-BTC non adossés à de véritables bitcoins. L’analyste on-chain mononaut a estimé qu’après le détournement, chaque L-BTC en circulation n’était adossé qu’à environ 4,7% d’un bitcoin réel. Antoine Poinsot, contributeur de Bitcoin Core connu sous le pseudonyme darosior, a remarqué qu’un autre élément clochait: un bloc Liquid accepté par l’explorateur de Blockstream n’apparaissait absolument pas sur mempool.space, un petit détail technique qui laissait entrevoir à quel point la faille s’enracinait profondément dans la logique du consensus. Les chercheurs ont finalement identifié la cause dans la manière dont les transactions confidentielles de Liquid sont validées et mises en cache: il s’agissait d’un bug d’inflation, et non d’un vol de clé.

Puis vint la partie qui fait de cette affaire l’un des bras de fer les plus étranges de l’histoire de la sécurité cryptographique. La ou les personnes détenant les fonds ont commencé à renvoyer des messages à Blockstream, intégrés directement dans des transactions Bitcoin, certains via OP_RETURN, d’autres qui auraient été chiffrés avec PGP. L’un d’eux disait en substance: corrigez d’abord le bug, confirmez que tous les nœuds sont corrigés, et ce n’est qu’alors que l’argent sera restitué. Blockstream, dirigé par Adam Back, a répondu sur le même ton. Selon un article de The Block, la société a envoyé son propre message signé dès que le correctif a été déployé: « Les nœuds relais sont corrigés, vous pouvez restituer les fonds en toute sécurité. » Au moment où nous écrivons ces lignes, les bitcoins se trouvaient toujours dans le portefeuille de l’attaquant.

Alex Thorn, directeur de la recherche chez Galaxy Digital, a déclaré que les pirates étaient allés plus loin et avaient envoyé à Blockstream des rapports techniques cryptés pour aider à cerner la vulnérabilité. Si cela se confirme, il s’agit d’une structure d’incitation véritablement étrange: une faille exploitée à hauteur de 320 millions de dollars fonctionnant, jusqu’à présent, comme une prime au bug non rémunérée et assez agressive. La seule question qui compte pour l’instant est de savoir si cela restera ainsi, et personne en dehors du propriétaire de ce portefeuille ne connaît réellement la réponse. Chaque revendication majeure de « white hat » dans ce secteur est mise à l’épreuve dès que la date limite de restitution des fonds arrive.

Pour tous les autres, les conséquences immédiates sont plus banales. Les autres actifs de Liquid, notamment l’USDT, DePix et divers actifs du monde réel tokenisés sur le réseau, n’auraient pas été affectés, puisque le bug concernait spécifiquement le traitement des transactions confidentielles de L-BTC plutôt que la sidechain dans son ensemble. Mais la fédération a tout de même mis à l'arrêt l’ensemble du réseau, et les plateformes d’échange qui acheminent leurs règlements via Liquid ont dû suspendre les activités liées au LBTC pendant le déploiement des correctifs chez les opérateurs de nœuds de la fédération. Liquid fonctionne depuis 2018 en tant que sidechain Bitcoin fédérée supervisée par plus de 80 bourses et entreprises d’infrastructure, et c’est le genre d’événement qui sera sans doute évoqué dans tous les futurs arguments, qu’ils soient en faveur ou contre les conceptions de ponts fédérés.

On observe également ici une tendance plus générale qui peut facilement passer inaperçue au milieu des détails d’un incident particulier. À elle seule, cette faille a fait grimper le total des piratages de cryptomonnaies de la semaine au-delà de 320 millions de dollars, et d’autres pertes moins importantes, notamment une faille dans le système d’entiercement de Notional Finance d’environ 1,7 million de dollars signalée séparément par les observateurs de sécurité, sont venues s’ajouter à ce chiffre. Les sidechains et les ponts restent les points de fuite de l’argent, non pas parce que la couche de base de Bitcoin est faible, mais parce que tout ce qui est construit à côté d’elle hérite des bogues présents dans ses propres logiciels.

Blockstream n’a pas précisé quand Liquid reprendra pleinement ses activités, et n’a pas confirmé l’identité de l’attaquant ni si le terme « white hat » est approprié pour désigner quelqu’un qui a détourné la quasi-totalité des réserves du réseau avant d’accepter de négocier. Pour l’instant, l’histoire est celle d’une sidechain Bitcoin qui attend une promesse, consignée dans des messages de la blockchain, de la part de la même personne qui vient de prouver que cette promesse était nécessaire au départ.