Liquid Network a temporairement arrêté sa sidechain après que des acteurs s'identifiant comme des pirates informatiques ont retiré près de 4 000 bitcoins, d'une valeur d'environ 320 millions de dollars, du portefeuille de la Fédération. Les responsables gardent les bitcoins pratiquement intacts au moment de la publication et utilisent la blockchain elle-même pour communiquer avec Liquid et affirment qu'ils les restitueront une fois le bug corrigé.
L'ampleur de l'opération a contraint, en plus d'arrêter temporairement le réseau, à demander aux bourses de suspendre les dépôts et retraits de LBTC. Liquid assure que le retrait a été effectué via le SideSwap PAK (Peg-out Authorization Key), mais maintient que cette clé n'a pas été compromise, ni les autres clés.
Cela montre comment il a été possible de retirer environ 4 000 BTC sans compromettre les clés qui devraient protéger le mécanisme de sortie. Liquid n'a pas encore expliqué, dans les informations fournies, la nature technique de la vulnérabilité.
Nous sommes des chapeaux blancs
Les responsables de l’opération se présentent comme des hackers au chapeau blanc et ont fait de la blockchain Bitcoin leur canal de communication avec Liquid. Le 6 septembre, ils ont laissé un message via OP_RETURN : Nous sommes des chapeaux blancs. Contactez-nous en chaîne. Le message apparaît dans une transaction liée à la consolidation de 3 998,49748445 BTC, selon les données Mempool fournies.
L’auto-désignation de Whitehats ne nous permet pas de conclure qu’il s’agit réellement de Whitehats. Mais les opérations suivantes apportent un élément inhabituel dans des incidents de cette ampleur : les auteurs disent vouloir restituer les bitcoins. Quelques heures plus tard, un autre message est apparu demandant que le bug soit d'abord corrigé et que tous les nœuds soient corrigés. Ce n’est que plus tard, disent-ils, qu’ils restitueront l’argent lorsqu’ils auront vérifié que le problème est résolu.
La transaction correspondante montre 3 998,49849036 BTC toujours concentrés à l'adresse utilisée par les responsables. Ceci introduit une différence importante par rapport à un vol classique : les fonds n'apparaissent pas, dans les données fournies, dispersés entre une multitude d'adresses.
4 000 Bitcoins visibles sur la chaîne
Un montant proche de 4 000 bitcoins reste concentré et visible sur la chaîne. Peu de temps après, un autre message est apparu : Je renvoie la majeure partie à l'adresse, est-ce que ça va ? La transaction conserve environ 3 998,49848550 BTC à l'adresse à partir de laquelle les fonds sont gérés.
Si l’intention exprimée dans ces messages se confirme, l’incident pourrait se terminer par la restitution de pratiquement tous les bitcoins. Au début du 7 septembre, ce retour complet ne peut cependant pas encore être considéré comme complet avec les sources fournies.
L’ampleur du retrait est particulièrement évidente dans les données de Mempool. L'adresse indiquée par Liquid pour suivre l'incident présente à la clôture de cette édition un solde confirmé de 197,47 BTC, avec 79 UTXO confirmés. Son historique reflète une forte baisse de plus de 4 000 BTC au niveau actuel.
Parmi les produits non dépensés restant à l'adresse figurent des montants de 43,28 BTC, 40,96 BTC, 27,24 BTC, 17,29 BTC et 8,16 BTC, en plus de nombreux montants plus petits. Les transactions permettent également d'observer le processus qui a précédé la concentration des fonds. Une opération enregistre une entrée de 3 995,99999857 BTC, à laquelle s'ajoutent d'autres mouvements avant d'atteindre environ 3 998,5 BTC.
Lors des opérations précédentes, de nombreux mouvements identifiés comme Liquid Peg Out apparaissent, certains de taille considérable. Ceux-ci incluent des sorties de 89,80 BTC, 14,57 BTC, 8,46 BTC et 7,80 BTC. Les informations en chaîne permettent de vérifier les mouvements, mais elles n'expliquent pas à elles seules quelle vulnérabilité a rendu l'opération possible.
Un problème pour Liquid qui va au-delà de la récupération des 320 millions de dollars
La réaction de Liquid a été de paralyser temporairement l'infrastructure. Les nœuds de pont ont été désactivés, aucune nouvelle transaction ne peut donc être envoyée. En pratique, Liquid reconnaît que la sidechain reste en pause pendant que les membres de la Fédération travaillent pour résoudre l'incident. Les bourses ont été notifiées et ont suspendu, ou se préparent à suspendre, les dépôts et retraits LBTC.
Liquid assure que les autres actifs du réseau, tels que USDT, DePix et RWA, ne sont pas affectés par l'incident de sécurité, bien que la paralysie du réseau ait des conséquences opérationnelles pour ses utilisateurs et ses portefeuilles. L’incident affecte le Liquid Network, et non le protocole Bitcoin. En fait, Bitcoin fonctionne dans ce cas comme un enregistrement public des mouvements de fonds et des conversations particulières entre les parties.
L’éventuel retour des bitcoins pourrait éviter que l’incident ne se transforme en une perte d’environ 320 millions de dollars, mais cela ne résoudrait pas le principal problème laissé par l’épisode. Liquid devra expliquer ce qui lui a permis de retirer près de 4 000 BTC via SideSwap PAK si, comme il le prétend, cette clé n'a pas été compromise.
Les responsables soutiennent qu'il y a un bug et exigent que tous les nœuds soient corrigés avant de restituer les fonds. Liquid, pour sa part, reconnaît l'incident et a choisi d'arrêter le réseau, mais dans les informations disponibles, il ne propose toujours pas d'explication technique à la panne.
Il ne s’agit pas seulement de savoir si les bitcoins reviendront. Une infrastructure conçue pour conserver et déplacer le BTC entre Bitcoin et Liquid a dû être paralysée après que quelqu'un ait réussi à retirer environ 4 000 BTC sans, selon Liquid, que les clés aient été compromises.
L'entrée Des Whitehats présumés retirent 4 000 bitcoins et forcent Liquid à être paralysé a été publiée pour la première fois sur Blockchain Observatory.
Voir l’article original en espagnol
