L’exploitation de Blockstream Liquid a créé un trou de 598,5 BTC dans la promesse de ratio 1:1.

Le 6 septembre, un attaquant a épuisé près de 4 000 bitcoins.Il s’agissait d’une seule carte de paiement intégrée dans le système Liquid, une chaîne secondaire basée sur Bitcoin. Au début, cela semblait être l’un des plus grands vols de cryptomonnaies de l’année. Le montant total était de 320 millions de dollars. À partir du 11 septembre, la plupart de ces fonds étaient retournés. Blockstream refusait publiquement de payer une rançon pour ce qui restait. La situation est facile à comprendre. Ce qui compte vraiment pour ceux qui veulent déterminer la valeur d’une cryptomonnaie est presque invisible derrière tout cela : 598,5 BTC, soit environ 47 millions de dollars, qui manquent encore dans les réserves promises, selon lesquelles chaque token en circulation pourrait être échangeable un pour un. Cette lacune n’a pas encore de propriétaire, et le refus de payer la rançon ne la comblera pas non plus.

Quelle est la nature du liquide, et pourquoi le Bitcoin n’a jamais été l’objectif visé.

La première chose qui est obscurcie par les titres de presse, c’est le sujet de l’attaque. Liquid n’est pas du Bitcoin. C’est une chaîne de valeurs secondaire lancée par Blockstream en 2018, et gérée par une fédération d’échanges, de fournisseurs d’infrastructure et d’institutions financières. Les utilisateurs peuvent transférer du Bitcoin vers Liquid, et recevoir en échange des L-BTC. Les L-BTC ne sont pas des nouvelles monnaies ; c’est plutôt un titre de réception. Le réseau promet que chaque L-BTC est soutenu par du Bitcoin réel, qui se trouve dans un portefeuille de réserve contrôlé par les “fonctionnaires” de la fédération, avec une signature multi-signature de 11 sur 15.

La clé est la vitesse et la confidentialité : des durées de bloc de deux minutes, des montants de transactions cachés, et une settlement pour les institutions qui ne veulent pas attendre une heure pour obtenir la confirmation de la couche de base.En gros, 5 milliards de dollars de valeur se trouvent dans cette chaîne.Épargnés sur L-BTC, les stablecoins et les titres tokenisés. Il existe des détenteurs de petite échelle, mais les véritables utilisateurs sont les exchanges et les services de négociation hors marché qui échangent des fonds entre eux.

Rien de tout cela ne touche le Bitcoin en soi. Lorsque le problème est apparu, le réseau du Bitcoin a continué à confirmer les blocs comme d’habitude.Le prix est resté autour de 80 000 dollars.Le logiciel de la chaîne secondaire peut se briser, tandis que la couche de base à laquelle il est attaché continue de fonctionner. C’est tout ce qui est important ici.

Le coffre était plein ; les comptes étaient défaillants.

Les mécanismes d’exploitation sont importants, car ils indiquent où se trouvait réellement le risque. Blockstream et les exchanges ont confirmé que les clés de signature de la fédération n’avaient pas été volées. Les 11 clés de signature sur 15 étaient bien en place. Ce qui a échoué, c’est le logiciel : un bug dans le code source de Elements, le framework open-source sur lequel fonctionne Liquid, ainsi que la manière dont le réseau vérifie les transactions confidentielles.

En termes simples, l’attaquantIl a trouvé un moyen de créer de l’L-BTC, une monnaie qui n’avait jamais été soutenue par aucun Bitcoin.C’est l’équivalent de l’impression d’un reçu de dépôt sans que le dépôt soit effectivement effectué. L’attaquant a alors utilisé le processus officiel de retrait des BTC via Liquid pour retirer ces “BTC fantômes”. C’est la même méthode que celle utilisée par les détenteurs réels pour retirer des BTC réels. La copie était fausse, mais le système de retrait a considéré cela comme réel et a payé des BTC réels. Les serrures du coffre sont restées fermées ; les registres comptables qui déterminaient qui avait droit à un retrait du coffre n’ont pas été modifiés.

Le rendement de 85 %, et le statu quo

Après que Blockstream ait corrigé les nœuds affectés et confirmé la correction, les attaquants ont restitué 3 400 BTC – environ 85 % du butin – le 7 septembre. Ils se présentent comme des hackers de bonne foi, qui agissent de manière responsable. C’est là que les deux valeurs divergent ; les données qui les distinguent, c’est le solde restant.

Les attaquants ont conservé environ 598,5 BTC, soit une valeur d’environ 47 millions de dollars. Le prix demandé, indiqué par des messages sur la chaîne blockchain, était de 10 % du montant total en échange d’une récupération complète des fonds. Il était également menacé que les détenteurs de L-BTC subissent des pertes sur le reste des fonds. BlockstreamRefusé publiquement le 11 septembre, en qualifiant ce retrait de crime plutôt que de divulgation responsable.Et il est indiqué que payer ces sommes permettrait à l’industrie du logiciel ouvert de disposer d’un guide pour exercer des extorsions à l’avenir. L’entreprise affirme cependant que les fonds seront collectés par des moyens légaux et via des recherches forensiques.

Le numéro qui permet de effectuer réellement les calculs arithmétiques.

Arrêtons-nous au registre : c’est là que lire les informations concernant les portefeuilles plutôt que des textes narratifs est utile. Le solde enregistré était d’environ 4 200 BTC.Le réservoir a évacué environ 4 000 d’entre eux.Près de 95 % du soutien nécessaire pour chaque L-BTC en circulation. Le retour en vaut donc 3 400 BTC. En soustrayant cela, on obtient un solde insuffisant de 598,5 BTC – ce chiffre reste donc entre les mains des attaquants.

Ce trou n’est pas un erreur de calcul. Il représente environ 15 % de tout ce qui a été évacué. C’est d’où vient la menace des attaquants selon laquelle “15 % des fonds seraient perdus” : si ces pièces ne reviennent jamais, environ 15 % du capital promises aux détenteurs de L-BTC disparaissent simplement. Les transactions sur L-BTC reposent sur la promesse d’un remboursement 1:1. La question est donc de savoir qui prendra le reste du capital manquant. Des solutions existent : la fédération pourrait recapitaliser les réserves avec ses propres fonds, ou les autorités peuvent chercher et récupérer les pièces manquantes. Mais ni l’une ni l’autre chose n’a eu lieu, et ni Blockstream ni la fédération n’a donné de réponse.Celui qui couvre le déficit si les pièces ne reviennent pas.Pendant ce temps, le réseau a repris la production de blocs vides, tandis que les opérations de conversion des L-BTC en bitcoin restent suspendues.

Qu’est-ce que un investisseur en ligne fait avec cela ?

Cette leçon dépasse la notion de chaîne latérale que la plupart des lecteurs ne toucheront jamais. Le prix d’un actif n’est pas aussi important que la garantie qui le soutient. Le terme “garantie” désigne donc une garantie spécifique, appartenant à un propriétaire précis. Le Bitcoin de couche de base ne possède aucune contrepartie : sa valeur ne dépend pas de la promesse de quelqu’un de l’émettre. Les tokens stockés, les dépôts transfrontaliers et les titres de dépôt ayant un rendement comprennent tous une structure opposée : une promesse, tenue par quelqu’un, qui est rompue en raison d’un bug logiciel, et non à cause d’un vol.

Donc, observez la même situation avant de croire en quoi que ce soit qui prétend avoir une stabilité fiable : qui est derrière cette promesse “un pour un” ? Que se passe-t-il si le logiciel échoue ? Qui prend les pertes en premier ? Identifiez l’utilisateur responsable des pertes avant de faire confiance au nom de l’actif en question. C’est tout ce qui est important dans cette transaction.

Et la clause d’expiration… Car chaque méthode possède une telle clause. Dès que Liquid reprend ses opérations de fixation du prix avec les réserves rétablies à leur niveau complet – que ce soit par récupération ou recapitalisation – ce risque particulier disparaît, et L-BTC redevient un titre de valeur aussi fiable qu’avant. Jusqu’à then, il faut considérer tout L-BTC en circulation comme une créance sur une fédération dont les comptes sont troublés. Vérifiez le solde des réserves de la même manière que vous vérifieriez un portefeuille, et non pas comme si c’était un document officiel.