Liquid Network redémarre après une faille de sécurité à 320 M$

Résumé : Le 10 septembre 2026, la fédération de Liquid Network a relancé la production de blocs après une suspension technique de quatre jours. Une vulnérabilité du logiciel open source Elements a permis le «u00a0mintingu00a0» non couvert d’environ 4 000 LBTC et le retrait de 3 996 BTC le 6 septembre 2026. Les réserves d’exploitation sont tombées de 4 205 BTC à 197 BTC pendant l’attaque, avant le retour de 3 400 BTC le 7 septembre 2026. Jeudi 10 septembre, la sidechain Liquid Network a repris une production de blocs encadrée après un incident estimé à 320 millions de dollars. Blockstream et la fédération d’opérateurs ont enclenché une première étape de rétablissement technique, sans réouverture des transactions commerciales pour les utilisateurs finaux. Mise à jour opérationnelle (au 10 septembre 2026, 10:00 UTC) : le redémarrage est intervenu à 12:26 UTC, une fois les nœuds fédérés mis à niveau. Les validateurs signent désormais des blocs vides, le temps de surveiller la stabilité du système. Par mesure de précaution, les dépôts et retraits restent désactivés. Selon un point de marché, les fonctions de conversion demeureront gelées tant que la reconstitution complète des réserves en bitcoin n’aura pas abouti. L’attaque a été détectée le 6 septembre 2026, au bloc 4 050 336. Une faille dans Elements a permis à un attaquant de créer près de 4 000 Liquid Bitcoin (LBTC) sans dépôt de collatéral. Ces fonds synthétiques ont été acheminés via le service d’échange SideSwap, au moyen d’une clé d’autorisation de peg-out (PAK). Les nœuds de la fédération ont validé la transaction car le défaut se situait en amont, au niveau de la validation pré-transaction. En quelques minutes, le solde du portefeuille multisig fédéré est passé de 4 205 BTC à 197 BTC. Les rapports techniques indiquent qu’aucune des clés privées des 15 membres de la fédération n’a été compromise. Les autres actifs émis sur le réseau, dont le stablecoin Tether (USDT) et plusieurs jetons adossés à des actifs du monde réel (RWA), n’ont pas été affectés pendant l’arrêt forcé. SideSwap a publié un compte rendu détaillé le 9 septembre 2026, reconnaissant des lacunes opérationnelles : la plateforme avait laissé la clé PAK connectée à internet et ne disposait ni de contrôles automatiques de vitesse, ni de seuils de volume par portefeuille. Plan de rétablissement et couverture des réserves : l’attaquant a renvoyé 3 400 BTC à l’adresse multisig du réseau le 7 septembre 2026, se présentant comme un chercheur en sécurité via des messages on-chain. À ce stade, 598,5 BTC — soit environ 47 millions de dollars — n’ont pas été récupérés. L’auteur de l’incident a exigé le versement d’une prime de 10% pour restituer le solde. Blockstream n’a pas indiqué officiellement que cette demande relevait d’un programme de bug bounty autorisé. La fédération a déployé un correctif d’urgence, Elements v23.3.4, le 9 septembre 2026. La mise à jour corrige la gestion des clés de cache dans les range proofs, après des audits menés avec des cabinets spécialisés, dont Bitcoin Red Team et Alpen Labs. Le PDG de Blockstream, Adam Back, a déclaré publiquement que l’ancrage 1:1 entre LBTC et BTC sera intégralement couvert. Des analystes estiment que ce soutien institutionnel pourrait limiter le risque de ventes paniques sur les desks de gré à gré (OTC). La feuille de route de remise en service s’articule en trois phases successives : (1) production de blocs contrôlée, (2) réexécution de transactions légitimes préalablement vérifiées, (3) réactivation des « pegs » une fois les réserves entièrement sécurisées. La prochaine étape annoncée par la fédération sera la publication d’un audit technique complet de l’incident, ainsi que la finalisation de stress tests avant la réouverture totale des ponts de liquidité.