Liquid Network : les retraits en bitcoin restent gelés, 603 BTC manquent toujours à la réserve

Gel prolongé. Cinq semaines après l’exploit du 6 septembre, les retraits de L-BTC vers le bitcoin restent suspendus sur Liquid Network. La réserve couvre seulement 85,8 % des jetons en circulation.

Il manque donc environ 603 BTC, soit près de 50 millions de dollars, pour retrouver la parité promise. Nous avions raconté le hack à 320 millions de dollars dès septembre.

Liquid Network : un exploit à 320 millions et 3 400 BTC rendus

Le L-BTC est le jeton de Liquid, une sidechain (blockchain secondaire adossée à Bitcoin). En théorie, chaque jeton vaut un bitcoin qu’une fédération d’acteurs garde en réserve. Mais le 6 septembre, une faille a touché Elements, le logiciel qui fait tourner Liquid. Elle a permis de créer et de racheter des L-BTC sans autorisation, selon Crypto Briefing.

Entre 3 996 et 4 000 BTC ont quitté la réserve, qui en contenait environ 4 205. Un acteur se présentant comme white-hat a ensuite rendu 3 400 BTC le 7 septembre. Il reste donc entre 598 et 603 BTC à récupérer. En revanche, l’attaquant n’a compromis ni les clés de signature de la fédération ni la clé de retrait de SideSwap. L’incident épargne aussi l’USDT du réseau.

Faille Elements : 35 minutes pour sortir 3 996 BTC

Blockstream a publié son rapport d’incident le 23 septembre. La faille se trouvait dans le cache d’Elements. Le logiciel y range les preuves cryptographiques déjà vérifiées pour ne pas les recalculer. Une première faiblesse y dormait depuis 2018. Or le correctif censé la refermer a ouvert la brèche exploitée. Une fausse preuve pouvait ainsi passer pour une entrée déjà validée et sauter le contrôle.

Le 6 septembre à 13 h 53 UTC, une transaction a créé environ 4 000 L-BTC sans bitcoin en face. L’attaquant a d’abord testé un retrait de 2,5 L-BTC, puis déposé le reste auprès du service de retrait de SideSwap. Trente-cinq minutes ont suffi. À 14 h 28, la fédération libérait 3 996,02 BTC sur Bitcoin. Selon le rapport, le processus de retrait se fiait à l’état validé de la sidechain sans vérifier la réserve. SideSwap transférait aussi les paiements automatiquement, sans plafond ni revue humaine.

La version 23.3.4 d’Elements, sortie le 9 septembre, corrige désormais le défaut et permet de désactiver ce cache. Un audit externe indépendant de cette version est en cours.

Peg-outs gelés : les conditions de Liquid pour rouvrir

Liquid a relancé la production de blocs et les transactions le 10 septembre. Il a d’abord fallu mettre à jour Elements, auditer le code et passer les clés en stockage à froid. Les peg-outs, c’est-à-dire les retraits de L-BTC contre du vrai bitcoin, restent fermés depuis 35 jours, relève The Defiant.

L’explorateur de Liquid affiche 3 632,23 BTC en réserve pour 4 234,76 L-BTC en circulation. Les détenteurs peuvent toujours s’échanger leurs jetons sur le réseau, mais pas les convertir en bitcoins. Rouvrir les retraits avec une couverture de 86 % provoquerait donc une course au guichet. Les premiers sortis récupéreraient tout, alors que les derniers garderaient des jetons sans contrepartie.

Liquid pose donc quatre conditions. Il faut d’abord une couverture intégrale, puis Elements à jour, des audits terminés et une nouvelle gestion des clés. Liquid ne donne aucune date. Adam Back, le patron de Blockstream, assure pourtant que la couverture reviendra à 1 pour 1.

Qui paiera les 603 BTC ? Pour l’instant, ni Blockstream ni la fédération n’ont nommé de payeur. Blockstream a fait savoir le 11 septembre qu’il ne verserait pas de rançon. L’entreprise dit plutôt travailler avec les autorités, des exchanges et des spécialistes du traçage pour récupérer les fonds. Adam Back a aussi demandé aux détenteurs de ne pas brader leurs L-BTC de gré à gré.