Liquid, la sidechain de Blockstream, signale une anomalie de 4'000 BTC (évaluée à 320 M$)

Selon CoinDesk, Liquid, la sidechain Bitcoin de Blockstream, est suspendue depuis dimanche. Environ 4'000 BTC, soit une valeur estimée à 320 M$ sur la base du prix cité dans l'article, ont été retirés du portefeuille de la fédération censé garantir la quantité de LBTC en circulation. Après l'incident, les nœuds du pont ont été arrêtés. Liquid et SideSwap, membre de la fédération, indiquent qu'un client a envoyé 4'000 LBTC à SideSwap à 14h05 UTC. Ces jetons ont ensuite été détruits avec une autorisation valide et, 23 minutes plus tard, le portefeuille de la fédération a exécuté un paiement d'environ 3'996 BTC. Liquid affirme que les fonds sont sortis via la clé d'autorisation de « peg-out » de SideSwap, tout en assurant qu'aucune clé (y compris celle-ci) n'a été compromise. SideSwap dit également ne pas avoir subi d'intrusion et attribue l'épisode à une vulnérabilité du logiciel Elements utilisé par Liquid. D'après le reportage, Blockstream n'a pas encore publié de détails sur la faille. Le correctif correspondant aurait toutefois été intégré au logiciel sous-jacent de Liquid il y a cinq semaines. Les informations disponibles à ce stade suggèrent qu'aucun bitcoin n'a été « arraché » à des portefeuilles : des LBTC sans collatéral en bitcoins auraient d'abord été créés, puis échangés contre des BTC via un processus de rachat semblant légitime. Le solde du portefeuille de la fédération serait tombé à environ 200 BTC, contre près de 4'200 BTC avant l'incident, soit environ 5 % du niveau précédent. Montant de la sortie anormale : environ 4'000 BTC. Solde après l'événement : environ 200 BTC. Écart de temps pour le dénouement : environ 23 minutes. Une chronologie publiée par Samson Mow, ancien responsable de la sécurité chez Blockstream, indique que l'adresse concernée détiendrait actuellement environ 3'998,5 BTC. Message on-chain se présentant comme « white hat » L'initiateur du transfert a laissé un message sur la blockchain : "We are white hats; please contact us onchain." Blockstream aurait répondu via l'adresse e-mail fournie on-chain, puis les deux parties auraient poursuivi les échanges au moyen de messages signés PGP intégrés à des transactions Bitcoin. Le directeur technologique de Ledger, Charles Guillemet, a d'abord exprimé des doutes sur l'usage du terme « white hat », estimant qu'un véritable white hat ne commencerait pas par vider des fonds d'un pont avant de demander un contact on-chain. Il a ajouté que certains prétendus white hats refusent aujourd'hui de restituer les fonds tant que les failles ne sont pas corrigées. Les autres actifs épargnés Les informations publiées à ce jour indiquent que les autres actifs sur Liquid, dont USDT, DePix et des actifs du monde réel tokenisés, n'ont pas été affectés. Le réseau principal Bitcoin n'a pas non plus été touché. L'impact se concentrerait donc sur les mécanismes de pont et de correspondance d'actifs de la sidechain Liquid, plutôt que sur le réseau Bitcoin lui-même.