Dans cet article
Table des matières
2 volets
Une faille dans le logiciel a permis d'en publier environ 4 000 Bitcoin du réseau Liquidela sidechain développée par Blockstream, pour une valeur qui dépassait à l'époque les 300 millions d'euros. Le 6 septembre, les porteurs du projet annoncent que presque tout a disparu du portefeuille fédéré, qui contenait environ 4 200 fonds : on parle de 95 % des fonds. La réaction a été immédiate, les nœuds de pont étant désactivés et les bourses invitées à suspendre temporairement les dépôts et les retraits de L-BTC pendant qu'elles essayaient de comprendre ce qui s'était passé.
Un point qui risque de générer une confusion doit être clarifié immédiatement. Liquide ce n'est pas Bitcoin. Les deux réseaux sont connectés, mais restent distincts. Liquid est une sidechain conçue pour déplacer les actifs liés au Bitcoin plus rapidement et avec quelques fonctionnalités supplémentaires. Le mécanisme est simple en théorie : les BTC sont bloqués sur le réseau principal et, en échange, un montant équivalent de L-BTC. Le ratio doit être de un pour un, chaque L-BTC correspond à un vrai BTC immobilisé ailleurs. C'est pourquoi la fédération doit maintenir une réserve.
Comment ces 4 000 Bitcoins sont sortis
Le retour de Liquid vers Bitcoin passe par une opération d’appel rattachéque seuls les membres de la Fédération peuvent démarrer. Un utilisateur s'appuie sur un service agréé, délivre ses L-BTC, ceux-ci sont retirés de la circulation et la fédération libère les BTC correspondants. Dans ce cas, un client a envoyé 4 000 L-BTC à SideSwap, le service a traité la demande comme étant valide et la fédération a fini par libérer environ 3 996 BTC.
Mais le problème se situe en amont. Selon la reconstitution publiée par SideSwap, le problème ne résidait pas dans le retrait mais dans le L-BTC qui y arrivait. La plateforme affirme que Blockstream lui a dit que ces 4 000 unités avaient été créées en exploitant un bug Élémentsle logiciel sur lequel Liquid est basé. Si l’explication préliminaire était confirmée, le mécanisme de sortie n’aurait rien détecté d’anormal pour une raison triviale. Il a reçu des actifs que le système considérait déjà comme légitimes. Liquid affirme que le PAK de SideSwap utilisé dans l'essai n'a pas été compromis, tandis que SideSwap dit la même chose à propos de ses propres systèmes.
Un détail à souligner concerne le réseau principal. La chaîne Bitcoin a continué à fonctionner régulièrement tout au long de l’affaire. Liquid est une infrastructure distincte, basée sur Elements et administrée via une fédération, donc une partie de sa sécurité dépend de composants que Bitcoin n'utilise tout simplement pas. Il ne s’agit pas d’une vulnérabilité dans le protocole principal, mais d’une faille dans une couche construite au-dessus, avec ses propres règles et mécanismes.
Le message des auteurs et la restitution promise
Puis vint le tournant. Celui qui a pratiqué l'opération s'est présenté comme chapeau blancc'est-à-dire un pirate informatique éthique, insérant un message dans une transaction Bitcoin et demandant à Blockstream de nous contacter. L'entreprise a répondu sur le même canal en fournissant les données de son équipe de sécurité et, selon Liquid, la conversation s'est ensuite déplacée vers des canaux cryptés. Cependant, l’identité de ces individus reste non vérifiée, ce qui signifie que personne ne peut accepter l’étiquette de hackers éthiques simplement parce qu’ils la revendiquent eux-mêmes. Ce qu'ils ont déclaré, c'est qu'ils restitueraient la plupart des fonds une fois le bug corrigé.
Celui qui contrôle le BTC avait posé une condition spécifique : il fallait d’abord corriger la faille et mettre à jour les nœuds, puis il serait question de déplacer l’argent. Flux de blocs a répondu par un message signé déclarant que ses nœuds de pont avaient déjà été mis à jour et que le retour du BTC était désormais sécurisé. Cependant, dans la dernière mise à jour publiée, environ 4 000 BTC ils étaient toujours sous le contrôle de celui qui avait réalisé l'opération, et la restitution promise n'était pas encore concrétisée.