La sidechain Liquid de Blockstream est en pause depuis dimanche, après qu'environ 4 000 BTC, d'une valeur d'environ 320 millions de dollars, ont quitté le portefeuille de la fédération qui garantit chaque L-BTC en circulation.
SideSwap, un membre de la fédération gérant un service de "peg-out", a déclaré qu'un client lui avait envoyé 4 000 L-BTC à 14:05 UTC. Il les a brûlés sous une autorisation valide, et 23 minutes plus tard, la fédération a versé 3 996 BTC.
Nous sommes au courant d'un incident de sécurité sur @Liquid_BTC. Des hackers prétendument "white hat" ont retiré environ 4 000 BTC (environ 320 millions de dollars) du portefeuille de la Fédération Liquid. L'équipe @Blockstream travaille à les contacter sur la chaîne avec un message signé.
Ce que nous savons jusqu'à présent, c'est que les fonds...
— Liquid Network 🌊 (@Liquid_BTC) September 6, 2026
Liquid a déclaré que les fonds avaient transité par la clé d'autorisation de "peg-out" de SideSwap, mais que ni cette clé ni aucune autre clé de la fédération n'avait été compromise. SideSwap a affirmé qu'aucun de ses systèmes n'avait été violé non plus, et a pointé du doigt un bug dans Elements, le logiciel sur lequel Liquid fonctionne.
Blockstream n'a pas expliqué le bug, bien qu'un correctif y ait été ajouté au logiciel sous-jacent de Liquid cinq semaines plus tôt. Rien n'a été forcé hors du portefeuille : quelqu'un a créé des L-BTC qui n'étaient pas adossés par des Bitcoins, puis les a encaissés via un "peg-out" qui semblait ordinaire.
Le portefeuille détenait environ 4 200 BTC avant dimanche et environ 200 après.
La partie a laissé un message sur la chaîne indiquant « we are whitehats. contact us on chain. » (nous sommes des "white hats". contactez-nous sur la chaîne). Blockstream a répondu une heure plus tard avec une adresse e-mail, et les deux ont échangé des messages signés PGP à l'intérieur de transactions Bitcoin depuis.
Les hackers ont proposé de renvoyer la plupart des pièces, puis ont ajouté une condition : corriger d'abord le bug, car la chaîne est toujours à risque avec la dernière version, et mettre à jour chaque nœud. La réponse de Blockstream, « Yes, thank you » (Oui, merci), a répondu à l'offre précédente et a été confirmée dans le même bloc que la condition.
Le directeur technique de Ledger, Charles Guillemet, a initialement soutenu que « Les "white hats" ne vident pas un pont pour ensuite solliciter un contact "on-chain" », comparant la situation aux hacks de Ronin et Euler. Il a brièvement admis qu'il pouvait s'agir de personnes qui « ont joué intensivement avec les LLM récents », puis s'est durci une fois la condition apparue : la pratique des "white hats" a « changé », a-t-il écrit, ajoutant : « Maintenant, ils volent l'argent et refusent de restituer les fonds avant que la vulnérabilité ne soit corrigée... »
L'ancien chef de la sécurité de Blockstream, Samson Mow, qui a publié une chronologie de l'échange, estime l'adresse des hackers à environ 3 998,5 BTC.
D'autres actifs sur Liquid, y compris l'USDT, DePix et les actifs du monde réel tokenisés, n'ont pas été touchés, et le propre réseau de Bitcoin n'est pas affecté.
USDT
BTC