Liquid Network piraté : 320 millions de dollars en Bitcoin envolés, et le pirate veut les rendre

La plus ancienne sidechain de Bitcoin vient de perdre presque tout ce qu'elle détenait, et la personne qui l'a prise demande poliment comment le rendre.

Le samedi 6 septembre 2026, environ 4 000 $BTC d'une valeur d'environ 320 millions de dollars ont quitté le portefeuille de la fédération qui soutient le Liquid Network, la sidechain Bitcoin construite par Blockstream et en fonctionnement depuis 2018. Le portefeuille contenait environ 4 200 BTC avant l'incident. Il en détient maintenant un peu plus de 200. Cela représente environ 95 % de tous les Bitcoins jamais liés à Liquid, disparus en l'espace de 23 minutes.

Ensuite, les choses sont devenues étranges. L'attaquant a joint un message à une transaction Bitcoin se présentant comme un chapeau blanc et invitant Blockstream à le contacter. Blockstream l'a fait. Les deux parties ont passé le week-end à négocier le retour de 320 millions de dollars en public, une petite transaction Bitcoin à la fois.

Que s'est-il réellement passé lors du piratage du Liquid Network ?

La chronologie est exceptionnellement claire, car la plupart des événements sont enregistrés sur la blockchain Bitcoin.

À 14h05 UTC le 6 septembre, un client a envoyé 4 000 L-BTC au service de retrait de SideSwap. SideSwap est un membre de la Fédération Liquid et une voie normale et approuvée pour convertir des L-BTC en véritable Bitcoin. Il a traité la commande comme n'importe quelle autre : les L-BTC ont été brûlés sur Liquid, une autorisation de retrait valide a été jointe, et 23 minutes plus tard, la fédération a versé environ 3 996 BTC sur la chaîne principale Bitcoin.

Rien dans cette transaction ne semblait suspect. Elle a été confirmée dans le bloc Bitcoin 965 783 à 14h28:56 UTC, et les pièces ont été envoyées à une seule adresse détenant juste en dessous de 4 000 BTC.

Peu après, cette même adresse a diffusé une petite seconde transaction contenant un message OP_RETURN : l'expéditeur s'est identifié comme un white hat et a demandé à être contacté sur la chaîne. Blockstream a répondu de la même manière, envoyant 1 000 satoshis à l'adresse dans le bloc 965 822 avec un message pointant vers son contact de sécurité. La conversation a depuis été déplacée dans des notes signées PGP échangées.

Liquid a désactivé ses nœuds de pont et a mis le réseau en pause. Les échanges ont été informés, et plusieurs ont suspendu les dépôts et retraits de L-BTC.

Comment le bug d'Elements a-t-il permis de libérer 4 000 BTC ?

C'est la partie qui devrait inquiéter les gens plus que l'argent manquant.

Le modèle de sécurité de Liquid semble solide sur le papier. Le Bitcoin soutenant les L-BTC est conservé dans un multisig 11 sur 15 contrôlé par des membres de la fédération vérifiés, et les retraits vers Bitcoin sont régulés par une seconde couche appelée Clés d'Autorisation de Retrait. Aucune de ces couches n'a été compromise. Aucun clé n'a été volée, aucun signataire n'a été victime de phishing, aucun module de sécurité matériel n'a été trompé.

Au lieu de cela, Blockstream a attribué l'incident à un bug logiciel dans Elements, la base de code open-source sur laquelle Liquid fonctionne. Une analyse indépendante pointe vers un bug d'inflation au niveau du consensus concernant la mise en cache des preuves de plage des transactions confidentielles. Une clé de cache qui omettait le contexte de l'actif et du script signifiait qu'une preuve précédemment vérifiée pouvait être réutilisée, ce qui a permis de créer des L-BTC non soutenus à partir de rien et d'être acceptés par un sous-ensemble de nœuds.

À partir de là, l'attaquant n'avait pas besoin de pirater quoi que ce soit d'autre. Il a simplement échangé ses faux L-BTC par la porte d'entrée. SideSwap a déclaré qu'il n'avait aucun moyen de distinguer les pièces créées par l'exploitation des véritables, donc il les a traitées de la même manière, et les HSM de la fédération ont signé un retrait qui était parfaitement valide selon les règles de consensus de Liquid à l'époque.

La note inconfortable : un correctif avait déjà été fusionné dans le dépôt d'Elements quelques jours plus tôt, mais n'avait pas encore été publié dans une version taguée.

Le Hacker du Liquid Network Est-Il Vraiment un White Hat ?

Il dit qu'il retournera la plupart des fonds une fois le bug corrigé et que chaque nœud aura été mis à jour. Il n'a pas précisé ce que signifie "la plupart", n'a pas donné de délai et n'a pas révélé son identité. À partir de lundi, le Bitcoin n'a pas bougé.

Beaucoup de personnes dans l'industrie ne croient pas à cette version des faits. Le CTO de Ledger, Charles Guillemet, a souligné que les véritables white hats divulguent une faille avant de déplacer des centaines de millions en garanties, et non après, et a comparé la situation au piratage du pont Ronin et au changement de cœur de l'attaquant d'Euler Finance après l'exploitation. Vider un pont puis demander une discussion ressemble moins à une divulgation responsable et plus à une manœuvre de pression.

L'ancien CSO de Blockstream, Samson Mow, a ajouté une autre nuance, en disant qu'une demande de contact Signal qui a émergé pendant la négociation ne provenait pas de l'adresse détenant réellement les pièces. Ce qui rappelle bien que dans une négociation publique avec une contrepartie anonyme, n'importe qui peut prétendre être l'une ou l'autre partie.

Que signifie cela pour les détenteurs de Bitcoin et d'L-BTC ?

Le Bitcoin lui-même va bien. L'exploitation n'a jamais touché la couche de base, et le BTC est resté confortablement près de 80 000 $ tout au long de cet épisode. Il s'agissait d'un bug dans un système construit au-dessus de Bitcoin, et non dans Bitcoin.

Les dommages sont concentrés là où on pourrait s'y attendre : la liquidité de l'L-BTC, et toute entreprise ou jeton qui dépend de Liquid en tant que couche de règlement. Liquid existe pour offrir aux échanges un règlement rapide en émettant de l'L-BTC contre des Bitcoin verrouillés, et une réserve qui est à 95 % vide n'est pas un peg fonctionnel. Tant que les pièces ne reviennent pas, ou que la fédération n'explique pas comment elle va couvrir le trou, les échanges d'L-BTC sont bloqués.

Il y a aussi un point plus large concernant les ponts fédérés. La fédération de Liquid n'a rien fait de mal dans le sens où tout le monde a suivi les règles. Les règles elles-mêmes étaient erronées pendant quelques blocs, et cela a suffi. Pour quiconque détient des actifs via un pont, un dépositaire ou un wrapper, un bug au niveau du protocole dans une réserve partagée est un risque qu'aucune mesure de sécurité personnelle ne peut auditer.

Que se passe-t-il ensuite ?

Trois choses à surveiller :

• Une transaction de retour confirmée. Rien d'autre ne compte. Tant que le Bitcoin ne revient pas de cette adresse à la fédération, la promesse n'est que du texte dans un champ OP_RETURN.
• Le post-mortem de Blockstream. L'entreprise n'a pas encore publié de compte rendu technique complet, y compris exactement comment le peg-out a contourné les contrôles normaux et pourquoi la correction d'Elements n'avait pas été déployée.
• Réconciliation. Même dans le meilleur des cas, quelqu'un doit expliquer l'écart entre 4 000 BTC et "la plupart" des 4 000 BTC, si une partie de cela est conservée comme une prime auto-attribuée, et comment les réserves restantes sont comptabilisées.

Cette histoire n'est pas terminée lorsque le hacker dit des choses agréables. Elle est terminée lorsque le Bitcoin est de retour et que les chiffres s'additionnent.