Blockstream a reçu un ultimatum : payer une « prime au bug », sinon les détenteurs d'actifs sur Liquid subiraient une perte plus lourde. Jeudi, l'entreprise a répondu en quelques mots : pas un satoshi.
Tout a commencé le 6 septembre, quand quelqu'un a repéré une faille dans Elements, le logiciel derrière Liquid, la sidechain bitcoin que Blockstream met à disposition des exchanges et des émetteurs de stablecoins comme Tether. L'attaquant a créé environ 4 000 L-BTC non adossés à du bitcoin réel, puis les a convertis en vrais BTC via SideSwap, un membre de la fédération disposant d'un droit de retrait. Le butin valait alors environ 320 millions de dollars.
Le lendemain, 7 septembre, l'attaquant a renvoyé sans prévenir environ 3 400 BTC, accompagnés d'un message on-chain : réparez d'abord le bug, vous récupérerez le reste ensuite. Blockstream a corrigé la faille en quelques jours et relancé la production de blocs le 10 septembre, même si les dépôts et retraits sur Liquid restent gelés.
Les 598,5 BTC restants, environ 47 millions de dollars, ne sont jamais revenus. À la place, l'attaquant a présenté une facture : 10 % du butin initial comme « prime au bug », avec la menace de faire perdre 15 % de leur valeur aux détenteurs de jetons en cas de refus. Blockstream n'a pas accepté ce cadrage : « Nous ne paierons pas de rançon pour la restitution de fonds volés. Retenir des actifs sans autorisation est un délit, pas une divulgation responsable », a déclaré l'entreprise, promettant de collaborer avec la police, les exchanges et des experts en criminalistique pour retrouver les fonds.
Le contraste avec d'autres piratages saute aux yeux. Quand Poly Network a perdu 610 millions de dollars en 2021, le pirate avait rendu presque tout volontairement, et s'était même vu proposer un poste de conseiller sécurité du protocole, sans aucune menace. Ici, les rôles s'inversent : l'attaquant a fixé son propre prix et menacé de conséquences en cas de refus. La suite compte au-delà de Liquid : si Blockstream cède, le prochain piratage de sidechain arrivera probablement avec exactement la même facture.
