Après l'incident de Liquid, le cofondateur de Rootstock plaide pour des retraits différés sur les ponts Bitcoin

Selon CoinDesk, Sergio Lerner, cofondateur et directeur scientifique de Rootstock, estime que les ponts inter-chaînes adossés à Bitcoin devraient rendre obligatoires les "retraits différés", au lieu de libérer les fonds immédiatement après la vérification logicielle. Il a déclaré à crypto.news que, sans verrouillage temporel, une seule erreur de validation peut provoquer une perte totale instantanée, laissant aux opérateurs trop peu de temps pour réagir. D'après lui, l'instauration d'un délai ouvre une fenêtre de plusieurs heures pendant laquelle les systèmes de surveillance et une intervention humaine peuvent détecter une anomalie et interrompre le processus avant tout transfert effectif de BTC. L'incident sur Liquid met en lumière les risques liés à la libération immédiate des fonds. Cette prise de position intervient après une sortie de fonds atypique depuis le portefeuille de la Liquid Federation. D'après plusieurs rapports, un acteur a d'abord créé des LBTC sans collatéral suffisant, puis a lancé un retrait via le service de "pegout" de SideSwap, ce qui a abouti au transfert de près de 4'000 BTC depuis le portefeuille de la fédération. Liquid a qualifié les parties impliquées de "whitehat hackers". SideSwap a indiqué que la demande avait été traitée selon les procédures standard, les LBTC apparaissant indiscernables de jetons normalement collatéralisés. Environ 23 minutes plus tard, le portefeuille fédéral a envoyé 3'996 BTC vers l'adresse Bitcoin désignée. À ce stade, 3'400 BTC ont été restitués. Blockstream a confirmé que les nœuds du pont concernés ont été corrigés, mais environ 598 BTC restent manquants. Au 10 septembre, Liquid a repris la production de blocs, sans relancer la récupération des transactions ni les opérations de peg. Lerner estime qu'un délai obligatoire entre la création de LBTC non collatéralisés et la libération de BTC réels aurait pu réduire fortement les pertes. Dans ce modèle, une fois la vérification logicielle effectuée, le retrait n'est pas finalisé immédiatement et entre dans une phase d'attente. Pendant cette période, des outils automatisés peuvent contrôler que les demandes de pegout correspondent aux réserves de BTC censées garantir les LBTC. Si un écart entre l'offre de jetons et les actifs en garantie est détecté, les opérateurs peuvent suspendre les retraits avant l'application des signatures matérielles, évitant une sortie immédiate de BTC depuis le portefeuille de la fédération. Rootstock applique déjà une période d'attente de 36 heures. Lerner précise que le "two-way peg" de Rootstock repose sur une logique comparable : des modules matériels de sécurité dédiés, les PowHSM, vérifient de manière indépendante que 4'000 blocs Rootstock — soit environ 36 heures de preuve de travail cumulée — se sont écoulés avant de signer des retraits en BTC. La clé privée reste en permanence dans l'appareil, et les nœuds fonctionnels ne peuvent pas demander au matériel de contourner la période d'attente. Même si la plupart des participants aux signatures s'entendaient, ils pourraient au mieux retarder les retraits, sans pouvoir forcer un transfert anticipé des BTC sous-jacents. BIP443 reste à l'état de brouillon. Lerner souligne que les mécanismes de sécurité actuels de Rootstock reposent encore sur des HSM et une architecture fédérée, plutôt que sur une application directe par le consensus du mainnet Bitcoin. Il ajoute que, si une solution native de type "vault" était un jour intégrée à Bitcoin, des contrôles similaires pourraient être inscrits au niveau du protocole. Il cite BIP443, qui propose un opcode nommé OP_CCV afin d'attacher des contraintes aux sorties Bitcoin et de limiter la manière dont les fonds pourront être déplacés ensuite. Le texte envisage notamment des usages liés aux sidechains, aux sorties avec état et à des structures de retrait en deux étapes révocables.