En ligne : 320 millions de dollars sont restés dans le portefeuille qui soutient les LBTC. Et « whitehats » est une affirmation, pas un registre officiel.

La première transaction a été traitée à 14:06 UTC : 3 996 pièces ont quitté le portefeuille multisig qui soutient les LBTC de Liquid.95 % de tout ce que le réseau contenait à l’époque.Quatre heures plus tard, le transmetteur a déplacé à nouveau les fonds, en payant 21 centimes de frais. Il a également joint un OP._Note de retour vers le blockchain :"Nous sommes des professionnels du domaine autorisé. Contactez-nous via Chain.."L’adresse de destination contient actuellement environ 3 998 BTC, soit environ 320 millions de dollars. Elle n’a pas bougé depuis.

C’est ce qui est arrivé à la Liquid Network dimanche. L’internet a déjà fourni une version claire de l’histoire. Il est donc utile de vérifier les informations avant d’acheter quelque chose.

Qu’est-ce que Liquid, en réalité ?

Liquid est une plateforme de niveau “layer-2” créée par Blockstream, une entreprise privée spécialisée dans les infrastructures Bitcoin. Cette entreprise a réussi à lever des fonds…210 millions de dollars dans une note convertible dirigée par Fulgur VenturesSon produit est la vitesse et la confidentialité : plutôt que d’attendre les blocs de dix minutes propres à Bitcoin, les utilisateurs envoient du BTC dans un portefeuille fédératif et reçoivent LBTC, une tokenisation 1:1 sur une chaîne de valeurs plus rapide. Liquid gère également des stablecoins et des titres tokenisés, ce qui lui confère une certaine avantage…5 milliards de dollars d’une valeur totale bloquéeSur environ 87 organisations membres, 15 d’entre elles gèrent les modules de sécurité matérielle du réseau.

L’atout principal est l’arrangement de détention des fonds. Le portefeuille de cette fédération est contrôlé par un accord de signature multiple à 11 sur 15. Quinze entreprises indépendantes conservent chacune une clé physique à protection contre les altères. Aucune retrait n’est possible sans la signature de onze d’entre elles. Comme le souligne Liquid, vos bitcoins sont détenus par une “Fédération Solide”, et non par une seule entreprise. Le mécanisme qui permet aux LBTC de être échangés au même prix que le BTC est la promesse comptable qui…Chaque LBTC sur la sidechain est correspondu un par un par du véritable BTC.Verrouillé dans ce multisig.

Ce que le livre de comptes montre vraiment

Évaluez les affirmations avant de vous y appuyer. Le drain lui-même est lié à la chaîne et vérifié :La réserve de la fédération a diminué de environ 4 200 BTC à environ 207 BTC.Les mécanismes qui ont permis ce phénomène sont en partie confirmés, mais pas entièrement. La explication actuelle concernant cette exploitation est une erreur d’inflation liée aux LBTC : l’attaquant a créé environ 4 019 LBTC qui n’existaient pas auparavant, puis a utilisé une clé de SideSwap pour échanger ces tokens fictifs contre environ 4 000 BTC réels. Blockstream a déclaré que la clé de SideSwap n’a pas été compromise, tout comme les autres clés de la fédération.

Attendez une seconde… C’est là que se trouve la partie qui devrait changer votre interprétation. Un coffre-fort composé de 11 des 15 éléments de sécurité anti-altération, conçu de manière à ce que aucun élément compromis ne puisse déplacer des fonds, a été vidé de 95 % de son contenu. Selon Blockstream, aucune clé n’a été brisée. Le problème ne venait pas du coffre-fort. Il provenait de la logique de validation du réseau, c’est-à-dire de la couche qui doit compter les LBTC et confirmer que le token brûlé est bien réel. Le modèle de sécurité protégeait les clés, mais pas l’enregistrement des transactions effectuées avec ces clés.

Cela inverse donc la perspective habituelle concernant les violations de la confidentialité des clés. Les produits liés au Bitcoin sont généralement attaqués de la même manière qu’un banque : par un détenteur de clé compromis ou un intéressé corrompu. La solution proposée est donc de « surveiller les clés ». Ici, les clés ont bien fait leur travail : onze entreprises indépendantes ont signé ce document, et le document présenté était en réalité un token qui était certifié par des règles de consensus, mais qui n’avait aucun soutien réel. La « Strong Federation » protège contre un membre malhonnête, et non contre une règle de consensus qui permet à un attaquant de créer sa propre réserve.

Ce qu’est et ce n’est pas les « whitehats »

La note liée à la chaîne de blocs est une affirmation, et non une entrée dans le registre. La personne qui l’émet se proclame “white-hat” – en général, c’est un chercheur qui exploite une vulnérabilité pour obtenir une correction, puis restitue les fonds en échange d’une récompense. Plusieurs médias rapporteient cette information : il s’agit des attaquants du Ronin Bridge en 2024, qui ont rendu partie des fonds qu’ils avaient volés après négociations. Mais rien de cela n’est vérifié ici. Blockstream essaie toujours de entrer en contact avec les victimes ; les fonds restent donc intacts, et le problème de la fixation entre le prix de l’actif et celui de la monnaie reste non résolu.

Ce qui est établi est limité. Le mainnet de Bitcoin lui-même n’a pas été affecté, et les autres actifs de Liquid – son USDT, DePix et les tokens d’actifs réels – ne ont pas non plus été touchés. Ce qui n’est pas clair, c’est si les détenteurs de LBTC seront remboursés intégralement. Liquid a suspendu les nodes de pont et a demandé aux exchanges d’interdire les dépôts et retraits de LBTC. Ainsi, personne ne peut actuellement échanger le token contre des bitcoins. La question de savoir si les ~207 BTC restants dans les réserves suffisent à couvrir les LBTC restant en circulation est une question que les rapports eux-mêmes répondent de manières différentes. La récupération de ces bitcoins – si elle se produit – sera une négociation, et non un droit acquis.

La condition de pause pour l’ensemble de la phrase “White Hat a sauvé la journée” est simple et facile à vérifier : le retour des fonds vers le portefeuille de la fédération se fait via la chaîne de blocs, et est signé. Jusqu’à ce que cela apparaisse sur le ledger, l’étiquette appropriée pour environ 320 millions de LBTC est…Manquant, pasrecouvert.

Quel est le prix de cela ?

Pour un détenteur de tokens de commerce, la leçon à retenir n’est pas liée spécifiquement au concept de Liquid ; c’est plutôt ce que représente cette catégorie de tokens. Tous les types de Bitcoin “emballés” ou de niveau 2 – comme WBTC, cbBTC, LBTC – qui transforment vos bitcoins en droits sur les actifs d’autrui, sont valables uniquement si ces deux niveaux sont fiables. L’entité qui échoue en premier est celle dont on ne peut pas auditer les comptes. Les événements du dimanche en sont un exemple : un coffre-fort de type 11 sur 15 a montré qu’il était suffisamment robuste pour conserver ses clés, mais aussi suffisamment faible pour perdre ses registres.

Attendez le rapport financier avant de mettre à jour votre jugement – que ce soit en ce qui concerne la récupération des fonds, l’utilisabilité de Liquid, ou l’ensemble de l’environnement de confiance lié au Bitcoin. Ce qui s’est passé cette semaine montre une vérité claire : un niveau de gestion financière a échoué, sans qu’aucun mot de passe ne soit compromis, car l’attaque a été menée par l’intermédiaire de la partie du système qui n’est pas auditée par personne. C’est un risque qui concerne toute la catégorie de produits financiers, et il a été évalué à environ 320 millions de dollars.