Liquid Network a récupéré 3 400 BTC d'une valeur d'environ 269,2 millions de dollars auprès des pirates informatiques autoproclamés derrière un retrait de 4 000 BTC, bien que près de 47 millions de dollars restent impayés.
Résumé
- Les acteurs ont restitué 3 400 BTC, récupérant environ 85 % des fonds retirés.
- Il reste environ 598,5 BTC, d'une valeur d'environ 47 millions de dollars, dans l'adresse liée au retrait.
- Blockstream a déclaré aux acteurs que ses nœuds de pont avaient été corrigés avant le remboursement.
- Liquid n'a pas annoncé quand ses services de pont et L-BTC reprendront leurs opérations normales.
Liquid Network a récupéré 85% du Bitcoin retiré
Les données en chaîne montrent que les acteurs ont restitué 3 400 BTC, d'une valeur d'environ 268,2 millions de dollars une fois confirmés, au portefeuille Liquid Federation du bloc Bitcoin 965 950. Le transfert a récupéré environ 85 % des fonds retirés, tandis que 598,5 BTC d'une valeur d'environ 47 millions de dollars sont restés à l'adresse des acteurs. Blockstream avait précédemment informé le groupe via un message de transaction signé que ses nœuds de pont avaient été corrigés et que les fonds pouvaient « être restitués en toute sécurité ».
Après le transfert plus important, environ 598,5 BTC, d'une valeur d'environ 47 millions de dollars, sont restés à l'adresse liée au retrait. Les acteurs n’ont pas expliqué publiquement pourquoi ils avaient conservé les pièces restantes ni indiqué si un autre remboursement suivrait.
L'incident de dimanche a commencé lorsqu'un client a envoyé 4 000 Liquid Bitcoin, ou L-BTC, au service de partage de SideSwap. SideSwap permet aux utilisateurs de transférer la valeur de la sidechain Liquid vers le réseau Bitcoin via un processus de retrait autorisé.
Les acteurs se sont ensuite identifiés comme des « chapeaux blancs » dans un message joint à une transaction Bitcoin. Les pirates informatiques détectent et signalent généralement les failles de sécurité afin que les développeurs puissent les réparer, recevant souvent une prime selon les conditions convenues avec le projet concerné.
Cependant, aucun accord rendu public n'a établi que les acteurs de Liquid avaient l'autorisation de retirer les fonds. Blockstream et les acteurs n'ont pas non plus publié de conditions accordant une prime ou permettant au groupe de conserver près de 600 BTC.
Comme crypto.news l’a rapporté avant le retour, les acteurs avaient proposé de renvoyer « la plupart » du Bitcoin une fois que Blockstream aurait corrigé la vulnérabilité. À ce stade, aucun remboursement n'avait été confirmé et le retrait représentait environ 95 % du Bitcoin qui aurait été détenu dans le portefeuille de la fédération de Liquid.
Les messages en chaîne ont conduit au remboursement de 3 400 BTC
La communication entre Blockstream et les acteurs s'effectuait via des messages joints aux transactions Bitcoin, permettant aux deux parties d'échanger des instructions sans recourir à un service de messagerie privé.
Dans un message de transaction, les acteurs ont demandé à Blockstream de réparer la faille avant de restituer le Bitcoin.
« Veuillez d'abord corriger le bug », indique le message. « La chaîne est menacée au dernier commit en ce moment. Assurez-vous que chaque nœud est corrigé. Ensuite, nous transférerons l'argent en toute sécurité après avoir confirmé le correctif. «
Suite à cette confirmation, les acteurs ont envoyé 3 400 BTC à l'adresse de Liquid Federation. L'échange montre que le remboursement dépendait de l'acceptation par les acteurs de la déclaration de Blockstream selon laquelle les nœuds concernés étaient sûrs, bien qu'aucune des parties n'ait publié de rapport technique identifiant la faille ou expliquant comment le retrait est devenu possible.
Liquid a désactivé ses nœuds de pont après avoir détecté la transaction et a demandé aux bourses de suspendre les dépôts et les retraits L-BTC. L'arrêt a restreint les mouvements entre Liquid et la couche de base Bitcoin pendant que les développeurs enquêtaient sur l'incident et appliquaient le correctif.
Blockstream a déclaré que la clé utilisée lors du retrait n'avait pas été compromise, selon Reuters. La société n'a pas publié d'analyse post-mortem complète détaillant si la faille affectait SideSwap, le logiciel de pont, la base de code Liquid's Elements ou une autre partie du processus d'extraction.
Le CTO de Ledger remet en question la description du chapeau blanc
Charles Guillemet, directeur de la technologie de Ledger, a contesté la description d'eux-mêmes des acteurs après avoir restitué la plupart des pièces, mais conservé près de 600 BTC.
« Ainsi, 3 400 BTC ont été remboursés », a écrit Guillemet sur X. « Les « chapeaux blancs » détiennent toujours 600 BTC. Si jamais il s'agissait d'une récompense négociée dans le cadre d'un contrat crypté signé en chaîne, cela ressemble plus à de l'extorsion qu'à du piratage de chapeau blanc ! »
Son commentaire portait sur le manque de conditions divulguées concernant le Bitcoin conservé. Un bug bounty conventionnel fixe normalement les conditions de récompense et de retour avant qu'un chercheur ne conserve une partie des fonds concernés, alors qu'aucun accord comparable entre Blockstream et les acteurs n'a été rendu public.
Un problème similaire est apparu après l’exploit du pont Verus Ethereum en mai. Dans ce cas, l'attaquant a restitué 75 % des fonds volés et a conservé 1 350 ETH, d'une valeur alors d'environ 2,8 millions de dollars, après que Verus a publiquement proposé des conditions de règlement. Le remboursement liquide diffère car Blockstream n'a pas déclaré que les 598,5 BTC restants constituaient une prime approuvée.
Les revendications du chapeau blanc ne déterminent pas non plus à elles seules le statut juridique d’un acteur. Toute évaluation juridique dépendrait de facteurs tels que l'autorisation, la méthode utilisée pour obtenir les actifs, les communications entre les parties et les lois applicables. Aucun régulateur américain ou organisme chargé de l'application des lois n'a annoncé d'action liée au retrait de Liquid.
Les détenteurs de L-BTC attendent des détails sur le soutien et les retraits
Liquid est une sidechain Bitcoin fédérée développée par Blockstream. Les utilisateurs verrouillent BTC via son système de rattachement et reçoivent du L-BTC sur la sidechain dans un rapport de un pour un, permettant un règlement et des transferts d'actifs plus rapides sans déplacer chaque transaction à travers la couche de base Bitcoin.
Un récent explicatif de sécurité de pont a décrit comment les systèmes qui verrouillent les actifs sur un réseau et émettent les jetons correspondants ailleurs dépendent de la sécurité de leurs systèmes de garde, de validation et de traitement des messages. Les échecs à l’un de ces points peuvent interrompre les rachats même lorsque la blockchain sous-jacente continue de fonctionner normalement.
Pour les utilisateurs basés aux États-Unis, le problème immédiat est opérationnel plutôt que de modifier les règles fédérales en matière de cryptographie. Les détenteurs américains qui utilisent L-BTC sont confrontés aux mêmes dépôts, retraits et services de rattachement suspendus que les autres utilisateurs, tandis que le BTC natif détenu directement sur la blockchain Bitcoin est distinct du système sidechain de Liquid.
Liquid n'a pas révélé si les 3 400 BTC restitués avaient entièrement rétabli le soutien à l'approvisionnement en L-BTC correspondant. Le réseau n’a pas non plus indiqué comment il envisageait de combler tout écart créé par les 598,5 BTC toujours contrôlés par les acteurs.
Aucune heure de réouverture n'a été donnée pour les nœuds de pont, et il est toujours demandé aux bourses de maintenir les dépôts et retraits L-BTC suspendus. Blockstream n’a pas non plus publié le compte rendu technique promis de la faille ni confirmé si les acteurs avaient l’intention de restituer le Bitcoin restant.