Le Liquid Network a récupéré 3 400 BTC, d'une valeur d'environ 269,2 millions de dollars, auprès des auto-proclamés "white-hat hackers" à l'origine d'un retrait de 4 000 BTC, bien que près de 47 millions de dollars restent en suspens.
Les données on-chain montrent que les acteurs ont restitué 3 400 BTC, d'une valeur d'environ 268,2 millions de dollars au moment de la confirmation, au portefeuille de la Fédération Liquid dans le bloc Bitcoin 965 950. Le transfert a permis de récupérer environ 85 % des fonds retirés, tandis que 598,5 BTC, d'une valeur d'environ 47 millions de dollars, sont restés dans l'adresse des acteurs. Blockstream avait précédemment informé le groupe, via un message de transaction signé, que ses nœuds de pont étaient corrigés et que les fonds étaient "sûrs à restituer".
Environ 598,5 BTC, estimés à environ 47 millions de dollars, sont restés dans l'adresse liée au retrait après le transfert le plus important. Les acteurs n'ont pas expliqué publiquement pourquoi ils ont conservé les pièces restantes ni si un autre remboursement suivra.
L'incident de dimanche a commencé lorsqu'un client a envoyé 4 000 Liquid Bitcoin, ou L-BTC, au service de peg-out de SideSwap. SideSwap permet aux utilisateurs de transférer de la valeur de la sidechain Liquid vers le réseau Bitcoin via un processus de retrait autorisé.
Les acteurs se sont ensuite identifiés comme des "white hats" dans un message joint à une transaction Bitcoin. Les "white-hat hackers" trouvent et signalent généralement les failles de sécurité afin que les développeurs puissent les corriger, recevant souvent une récompense selon des termes convenus avec le projet affecté.
Aucun accord publiquement divulgué n'a cependant établi que les acteurs de Liquid avaient l'autorisation de retirer les fonds. Blockstream et les acteurs n'ont pas non plus publié de conditions accordant une prime ou permettant au groupe de conserver près de 600 BTC.
Comme crypto.news l'a rapporté avant le remboursement, les acteurs avaient proposé de restituer "la plupart" des Bitcoin une fois que Blockstream aurait corrigé la vulnérabilité. À ce moment-là, aucun remboursement n'avait été confirmé, et le retrait représentait environ 95 % du Bitcoin prétendument détenu dans le portefeuille de la fédération de Liquid.
La communication entre Blockstream et les acteurs s'est faite par le biais de messages attachés aux transactions Bitcoin, permettant aux deux parties d'échanger des instructions sans dépendre d'un service de messagerie privé.
Dans un message de transaction, les acteurs ont demandé à Blockstream de corriger la faille avant qu'ils ne restituent le Bitcoin.
« Veuillez corriger le bug en premier », disait le message. « La chaîne est actuellement à risque suite au dernier commit. Assurez-vous que chaque nœud est patché. Ensuite, nous transférerons l'argent en toute sécurité après avoir confirmé le correctif. »
Suite à cette confirmation, les acteurs ont envoyé 3 400 BTC à l'adresse de la Fédération Liquid. L'échange montre que le remboursement dépendait de l'acceptation par les acteurs de la déclaration de Blockstream selon laquelle les nœuds affectés étaient sûrs, bien qu'aucune des parties n'ait publié de rapport technique identifiant la faille ou expliquant comment le retrait est devenu possible.
Liquid a désactivé ses nœuds de pont après avoir détecté la transaction et a demandé aux exchanges de suspendre les dépôts et retraits de L-BTC. Cet arrêt a restreint le mouvement entre Liquid et la couche de base de Bitcoin pendant que les développeurs enquêtaient sur l'incident et appliquaient le correctif.
Blockstream a déclaré que la clé utilisée lors du retrait n'avait pas été compromise, selon Reuters. La société n'a pas publié de post-mortem complet détaillant si la faille affectait SideSwap, le logiciel de pont, le code source d'Elements de Liquid, ou une autre partie du processus de peg-out.
Le directeur de la technologie de Ledger, Charles Guillemet, a contesté la description des acteurs se présentant comme des "white hats" après qu'ils aient restitué la plupart des pièces mais conservé près de 600 BTC.
« Donc, 3 400 BTC ont été remboursés », a écrit Guillemet sur X. « Les 'white hats' détiennent toujours 600 BTC. Si cela avait été une récompense négociée dans le cadre d'un contrat chiffré signé on-chain, cela ressemble plus à de l'extorsion qu'à un piratage éthique ! »
Son commentaire portait sur l'absence de conditions divulguées concernant les Bitcoin conservés. Une prime de bug conventionnelle fixe normalement la récompense et les conditions de restitution avant qu'un chercheur ne conserve une partie des fonds affectés, alors qu'aucun accord comparable entre Blockstream et les acteurs n'a été rendu public.
Un problème similaire est apparu après l'exploit du pont Verus Ethereum en mai. Dans ce cas, l'attaquant a restitué 75 % des fonds volés et a conservé 1 350 ETH, d'une valeur d'environ 2,8 millions de dollars à l'époque, après que Verus ait publiquement proposé des conditions de règlement. Le remboursement de Liquid diffère car Blockstream n'a pas déclaré que les 598,5 BTC restants constituaient une prime approuvée.
Les revendications de "white-hat" ne déterminent pas non plus à elles seules le statut juridique d'un acteur. Toute évaluation juridique dépendrait de facteurs tels que l'autorisation, la méthode utilisée pour obtenir les actifs, les communications entre les parties et les lois applicables. Aucun régulateur ou organisme d'application de la loi américain n'a annoncé d'action liée au retrait de Liquid.
Liquid est une sidechain Bitcoin fédérée développée par Blockstream. Les utilisateurs bloquent des BTC via son système de peg et reçoivent des L-BTC sur la sidechain selon un ratio de un pour un, permettant des règlements et des transferts d'actifs plus rapides sans déplacer chaque transaction sur la couche de base de Bitcoin.
Un récent explicatif sur la sécurité des ponts a décrit comment les systèmes qui bloquent des actifs sur un réseau et émettent des jetons correspondants ailleurs dépendent de la sécurité de leurs systèmes de garde, de validation et de traitement des messages. Des défaillances à l'un de ces points peuvent interrompre les remboursements même lorsque la blockchain sous-jacente continue de fonctionner normalement.
Pour les utilisateurs basés aux États-Unis, le problème immédiat est opérationnel plutôt qu'un changement des règles fédérales concernant la crypto. Les détenteurs américains qui utilisent le L-BTC sont confrontés aux mêmes suspensions de dépôts, de retraits et de services de peg que les autres utilisateurs, tandis que le BTC natif détenu directement sur la blockchain Bitcoin est distinct du système de sidechain de Liquid.
Liquid n'a pas divulgué si les 3 400 BTC restitués ont entièrement rétabli la garantie de l'offre correspondante de L-BTC. Le réseau n'a pas non plus précisé comment il compte gérer tout écart créé par les 598,5 BTC toujours contrôlés par les acteurs.
Aucun délai de réouverture n'a été donné pour les nœuds de pont, et il a toujours été demandé aux exchanges de maintenir les dépôts et retraits de L-BTC suspendus. Blockstream n'a pas non plus publié le compte rendu technique promis de la faille ni confirmé si les acteurs ont l'intention de restituer le Bitcoin restant.
BTC
