Le casse du siècle sur Liquid
Dans la nuit du 9 au 10 juin 2024, le réseau Liquid, sidechain bien connue de l’écosystème Bitcoin, a été frappé par une faille de sécurité d’ampleur inédite. En l’espace de quelques heures, près de 4 000 bitcoins – soit environ 320 millions de dollars au cours du jour – ont été retirés du portefeuille fédéré du réseau. Ce portefeuille détenait alors environ 4 200 BTC, ce qui signifie que plus de 95 % des fonds ont été siphonnés en un seul coup. Les opérations sur Liquid ont été suspendues immédiatement après la découverte du hack, et les exchanges partenaires ont rapidement bloqué dépôts et retraits de L-BTC afin d’éviter tout mouvement suspect supplémentaire.
Les premiers messages laissés sur la blockchain par les auteurs du retrait se présentaient comme issus de white-hat hackers : "we are whitehats. contact us on chain", pouvait-on lire dans un OP_RETURN non vérifié.
Des white hats à la rescousse
Dès le lendemain, le ton change : les hackers affirment vouloir restituer la majorité des fonds, à condition que la vulnérabilité soit corrigée et que chaque nœud du réseau soit mis à jour. Le 10 juin, ils tiennent parole : 3 400 BTC – évalués à environ 270 millions de dollars – sont retournés au portefeuille sécurisé de la Liquid Federation. Cette restitution représente près de 85 % des fonds dérobés lors de l’incident. Blockstream, principal fournisseur technologique derrière Liquid, confirme alors que les nœuds de bridge affectés ont été corrigés et que le logiciel Elements, cœur du réseau Liquid, a reçu un correctif pour combler la faille exploitée.
Le 10 juin 2024, 3 400 BTC ont été transférés en une seule transaction vers l’adresse multisig officielle de la Liquid Federation.
Pour l’instant, près de 598 bitcoins restent introuvables et aucune communication officielle n’a précisé si ces fonds seraient considérés comme une récompense ou s’ils feront l’objet d’une restitution complète.
Voir Aussi
Le bug Elements au cœur du hack
L’origine technique du hack remonte à un bug dans Elements, le logiciel open source utilisé par Liquid pour gérer ses transactions et ses mécanismes de sécurité. Selon les premières analyses publiées par Blockstream et confirmées par SideSwap – autre acteur clé du réseau –, aucune clé privée n’a été compromise durant l’incident. Les fonds ont pu être retirés via une faille liée à la Peg-out Authorization Key (PAK), mais cette dernière n’a pas fuité : c’est bien le logiciel qui était en cause et non une attaque classique par vol d’identifiants.
Après avoir désactivé les nœuds de bridge pour stopper l’hémorragie, Blockstream a contacté directement les auteurs via des messages onchain signés. Ces échanges inhabituels témoignent d’un climat d’urgence rarement observé sur une sidechain aussi structurée.
La rapidité avec laquelle les correctifs ont été déployés a permis d’éviter que d’autres actifs circulant sur Liquid – tels que USDT ou DePix – ne soient touchés par cette brèche logicielle.
Pourquoi le redémarrage traîne
Bien que le retour des fonds ait rassuré partiellement la communauté, le redémarrage complet du réseau se fait attendre.
Le point sur les fonds manquants
À ce jour, environ 47 millions de dollars en bitcoin restent manquants après la restitution principale opérée par les white hats. Les discussions entre Blockstream et les hackers se poursuivent pour tenter d’obtenir le retour intégral des fonds. D’après coindesk.com, aucune modalité claire n’a encore été communiquée concernant ces BTC restants ni sur leur éventuelle qualification comme "bounty" ou récompense pour service rendu à la communauté.
En attendant une issue définitive, Samson Mow (JAN3), ex-dirigeant emblématique chez Blockstream, recommande officiellement aux utilisateurs de ne pas envoyer de bitcoins vers les adresses peg-in du réseau tant qu’un redémarrage coordonné n’a pas été confirmé par tous les membres fédérés. Cette prudence s’explique par l’incertitude technique persistante autour du statut exact des nœuds mis à jour et des flux résiduels potentiellement vulnérables.
Réseau Liquid : confiance ébranlée
Si ce mercredi marque le retour progressif des opérations techniques sur Liquid grâce aux correctifs déployés et à la coordination entre membres fédérés, il subsiste un doute quant à la capacité du réseau à restaurer pleinement sa crédibilité auprès des utilisateurs institutionnels comme particuliers. Le fait qu’environ 85 % des bitcoins dérobés aient pu être récupérés est certes notable ; cependant, la transparence limitée autour des négociations actuelles laisse planer une incertitude sur l’avenir immédiat du protocole.
Ce qui reste incertain
La restitution des 598 BTC restants, soit près de 47 millions de dollars, n’a pas encore été confirmée par les hackers white-hat ni par Blockstream, et aucune modalité précise n’a été communiquée à ce jour.
