Samedi soir, heure de New York, quelqu'un a vidé 3 996 BTC — environ 320 millions de dollars — du portefeuille de la fédération derrière Liquid Network, la plus ancienne sidechain de Bitcoin. Les plateformes gérant son jeton LBTC ont gelé dépôts et retraits en quelques heures.
Liquid tourne depuis 2018 sous la houlette de Blockstream. Le principe : des exchanges, des bureaux OTC et des fonds bloquent du bitcoin, reçoivent du LBTC en échange, et règlent leurs opérations plus vite et plus discrètement que sur la chaîne principale. Une quinzaine de membres de la fédération détiennent ensemble les vrais BTC qui garantissent ces jetons.
Blockstream affirme qu'aucune clé n'a été volée. Le problème venait d'Elements, le fork de Bitcoin Core sur lequel tourne Liquid : un bug dans le cache de vérification des range proofs a permis de créer du LBTC sans bloquer le bitcoin correspondant. Les jetons ainsi fabriqués ont ensuite été échangés contre du vrai BTC via la plateforme SideSwap.
Un message inscrit on-chain sur ces transactions disait : « we are whitehats. contact us on chain » (nous sommes des white hats, contactez-nous on-chain). Blockstream n'a jamais confirmé cette version, mais a engagé le dialogue et publié un correctif pour tous les nœuds en moins d'une journée.
Une fois assuré que la faille était corrigée, l'attaquant a renvoyé 3 400 BTC, soit environ 272 millions de dollars. Il a gardé 598,5 BTC — près de 47 millions, soit 15 % du butin — sans qu'aucun accord public ne qualifie cette somme de récompense. Cela ressemble davantage à des honoraires fixés unilatéralement.
Les autres actifs hébergés sur Liquid, dont l'USDT et des actifs réels tokenisés, n'ont pas été touchés. L'épisode rappelle qu'une infrastructure Bitcoin ancienne et gérée avec prudence peut quand même tomber à cause d'une simple erreur de code, pas seulement d'un vol de clé spectaculaire.
