Le montant de 320 millions de dollars en liquidités : 3 400 BTC sont revenus, et les 15 % restants sont encore sur le support de stockage.

Le dimanche 6 septembre à 14:06 UTC, presque toute la réserve de bitcoins de la Liquid Network a été transférée en une seule transaction vers une adresse qui n’avait jamais été utilisée auparavant. Le frais de transaction était de 21 centimes. Quatre heures plus tard, l’expéditeur a ajouté une note sur la blockchain :Nous sommes whitehats. Contactez-nous sur Chain.Ce qui suit est le récit d’un hack dont l’argent a été remboursé en grande partie. Cela rend ce texte intéressant à lire deux fois : un hack dont l’argent est remboursé en grande partie est une situation différente de celle où l’argent n’est pas remboursé du tout.

Le Drain

Environ 4 000 des 4 200 bitcoins stockés dans le portefeuille de la fédération de Liquid ont été retirés dimanche. À ce moment-là, leur valeur était d’environ 320 millions de dollars – soit environ 95 % des réserves. Il ne restait donc que environ 197 BTC. Liquid fonctionne en tant que sidechain de niveau 2 sur Bitcoin ; les échanges et les marchands se débrouillent en utilisant LBTC, une token qui peut être échangée directement contre des bitcoins réels. Ce retrait a affecté tout le réseau de redemption. Les échanges qui comptent sur Liquid ont été immédiatement impactés par ce phénomène.Les dépôts et retraits de LBTC sont suspendus pendant que la chaîne secondaire est en mode arrêt.Et les nœuds de pont sont désactivés.

Puis le point inhabituel. Dès lundi, les acteurs avaient…3 400 bitcoins ont été restitués, pour une valeur d’environ 268 millions de dollars, tout en conservant environ 598,5 BTC.– Environ 15 % de ce qu’ils ont pris, soit 47 millions de dollars à l’époque.

La Fenêtre

Le détail important, c’est où l’argent a été utilisé réellement. Ce n’était pas une clé volée. Liquid a confirmé qu’aucune clé de la fédération n’a été compromise, et que rien n’a été violé concernant la garde des clés. En réalité, le problème venait de la procédure d’émission des clés. Il s’agissait d’un bug dans le cache de vérification de sécurité utilisé par les nœuds de Liquid – le logiciel basé sur Bitcoin qui est utilisé pour gérer les transactions de Bitcoin.Laissez les acteurs créer de l’L-BTC qui n’a aucun Bitcoin derrière elle.Ils ont effectué une simulation de transaction représentant 2,5 BTC. Ensuite, ils ont envoyé environ 4 000 tokens fictifs vers le service de transfert de Sideswap à 14:05 UTC. Sideswap a traité ces tokens, et la fédération a envoyé 3 996 bitcoins réels vers la destination à 14:28 UTC.

La distinction importante pour un lecteur non technique : les bitcoins réels passaient par une fenêtre conçue pour permettre aux détenteurs de LBTC de sortir des tokens, à un rythme un à un. Mais les tokens qui passaient par cette fenêtre n’étaient jamais soutenus par quoi que ce soit. En termes de ledger, la relation de parité est restée intacte.Aucun détenteur de LBTC n’a besoin de plus de satoshis ; il dispose donc de 0,22 pièce en surplus.— Car les “tokens fantômes” ont diminué, tout comme les réserves de ces tokens. Ce qui s’est brisé, c’est la confiance que les tokens créés sur Liquid pouvaient être véritablement échangeés contre des bitcoins.

Les 15 % restants sur le bande-télescope

Les acteurs se sont identifiés comme des « white-hats » dans un message sur la chaîne blockchain. Ils ont déclaré qu’ils restitueraient les fonds dès que la réseau serait corrigé et que l’argent serait déclaré comme étant « sûr pour être restitué ». Blockstream, l’entreprise qui gère Liquid, a répondu par des messages signés avec PGP, a corrigé les nœuds du réseau, et a demandé à être contacté. Aucune convention formelle concernant les 15 % de somme ne figurait dans les messages sur la chaîne blockchain.

Pour ceux qui lisent cela en tant qu’avertissement concernant leurs propres actifs, les points clés sont plus limités que ce que les titres indiquent. Le réseau principal de Bitcoin n’a pas été affecté. Les autres actifs émis par Liquid – USDT, DePix, actifs du monde réel – ne ont pas été touchés non plus. Ce qui se passe actuellement, c’est une suspension : le réseau reste en mode arrêt, les dépôts et retraits en LBTC restent bloqués. Les opérateurs déclarent qu’ils ne relanceront rien que lorsqu’ils pourront prouver que les LBTC légitimes sont soutenus à 1:1, que la version corrigée des Elements aura été distribuée, et que le pont sera jugé sûr. Jusqu’à alors, les détenteurs de LBTC ne peuvent pas retirer leurs fonds.

Cette “freeze” est donc le problème dans cette histoire, en plus d’une valeur monétaire non précisée. Les environ 598,5 BTC qui se trouvent encore entre les mains des acteurs sont bien plus importants que la marge de 0,22 monnaie qui permettait de maintenir l’équilibre sur papier ; cette marge n’est pas liée à rien de concret. Quelqu’un quelque part décide si ces 15 % constituent une récompense pour les failles, ou si c’est simplement un vol… Jusqu’à ce que le réseau soit réouvert avec un soutien de 1:1, “renvoyé” signifie que la plupart des fonds ont été restitués, mais pas que le compte est clos.