Blockstream a refusé de transférer aux attaquants la rançon de 600 BTC, qui leur restait après l'attaque de Liquid Network, une sidechain fédérée pour Bitcoin. La société a qualifié l'incident non pas de divulgation de vulnérabilité, mais de vol, et a averti qu'elle demanderait un remboursement auprès des forces de l'ordre, des bourses, des services et des spécialistes des enquêtes Blockchain.
L'incident découle d'un exploit de septembre au cours duquel de prétendus « White Hat Hackers » ont siphonné environ 4 000 BTC des réserves de la fédération Liquid Network. La valorisation boursière au moment de l'attaque était d'environ 320 millions de dollars. La plupart des fonds ont été restitués par la suite, mais environ 600 BTC, soit environ 47 millions de dollars, sont toujours sous le contrôle des attaquants.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Blockstream envisage de retenir le vol de fonds
La position de Blockstream est dure : l'entreprise n'a pas l'intention de payer pour la restitution des actifs. Selon elle, le retrait non autorisé de fonds et la retenue continue d'une partie du montant ne peuvent pas être considérés comme une divulgation responsable d'un problème de sécurité.
« Prendre des actifs sans autorisation et refuser leur restitution est un crime et non une divulgation responsable. Il ne s'agit pas d'une activité de chapeau blanc », a déclaré Blockstream.
Après l'attaque, le Liquid Network a été suspendu. Si les pièces restantes ne sont pas restituées, Blockstream prévoit d'utiliser tous les outils juridiques : interaction avec les forces de l'ordre, les échanges cryptographiques, les fournisseurs de services et les experts médico-légaux en chaîne.
Les capacités d’enquête reposent ici sur deux fonctionnalités de Bitcoin :
- le mouvement des fonds dans le réseau Bitcoin peut être suivi ;
- les traces dans la blockchain ne disparaissent pas.
La transparence des transactions dans la blockchain permet d'enquêter sur les vols : chaque transfert laisse une trace visible.
Comment fonctionnait l’exploit Liquid
Selon Chainalysis, les attaquants ont exploité une vulnérabilité dans le mécanisme par lequel Liquid mettait en cache les contrôles de confirmation des transactions. Cela a permis de créer du L-BTC non sauvegardé, puis de l'échanger contre du vrai Bitcoin.
Lorsque Blockstream a confirmé que les nœuds du pont avaient été réparés, les attaquants ont renvoyé 3 400 BTC en une seule transaction. Cela représente environ 85 % du montant total retiré. La partie non retournée a été envoyée en guise de modification à une adresse contrôlée par les attaquants.
Certains observateurs ont suggéré que les 600 BTC retenus pourraient être considérés comme une véritable récompense pour la vulnérabilité découverte. Cependant, ni Blockstream ni l'autre partie n'ont confirmé l'existence d'un tel accord.
Pourquoi cette histoire est importante pour le marché
La situation reste ouverte. Blockstream a clairement indiqué qu'il y avait encore de la place pour un règlement responsable, mais a en même temps souligné que la nature publique du Bitcoin complique les tentatives de dissimulation des actifs volés. Tout transfert laisse une trace, ce qui signifie que les fonds peuvent être surveillés en permanence par les analystes et les services de surveillance.
Pour l’industrie des crypto-monnaies, cette affaire est devenue un rappel douloureux de plusieurs points faibles à la fois :
- les risques des modèles de stockage fédéré ;
- combler les risques liés aux infrastructures ;
- la nécessité de vérifier en permanence la sécurité des solutions, même spécialisées.
Liquid a été créé comme une technologie permettant des règlements rapides avec Bitcoin, mais l'attaque a montré que la spécialisation technique en elle-même ne protège pas contre les vulnérabilités.
Une autre question est de savoir comment de tels incidents affectent les utilisateurs et les services qui utilisent le portefeuille de crypto-monnaie pour stocker ou déplacer des actifs. Jusqu'à ce que 600 BTC soient restitués, le conflit entre Blockstream et les attaquants reste non résolu et les mouvements de fonds ultérieurs seront étroitement surveillés par le marché.