La question de 47 millions de dollars : Qui mange quoi, après le coup d’état ?

On6 septembre : environ 4 000 des 4 200 bitcoins.Liquid, une entreprise qui soutient un réseau de règlementation numérique, a retiré environ 320 millions de dollars de son portefeuille de réserve en une seule fois – c’est l’un des plus grands vols de cryptomonnaies de l’année. Les événements qui ont fait la une des médias sont les suivants : ceux qui ont volé ces fonds se sont présentés comme des hackers éthiques ; ils ont restitué 85 % du montant volé et ont gardé le reste.Le 11 septembre, l’opérateur de réseau Blockstream a annoncé qu’il ne paierait pas de rançon.pour ce qui restait.

Le détail qui mérite un second regard, c’est ce qui n’a pas eu lieu. Aucun coffre-fort n’a été ouvert, et aucune clé de sécurité n’a été volée. La fédération qui protège les bitcoins de Liquid utilise une…11 sur 15 signatures multiplesL’arrangement était parfait, et chaque clé fonctionnait exactement comme prévu. De toute façon, l’argent reste. Ce simple fait constitue toute l’histoire, car il détermine où se situe la perte – et ce n’est pas là où la déclaration officielle de Blockstream vous mènerait à croire.

Le rail et la promesse qu’il fait

Le liquide est important à comprendre, car c’est à travers lui que se déroulent les transactions ordinaires. C’est une “sidechain” de Bitcoin : un réseau indépendant qui émet un token appelé L-BTC. Chaque unité de ce token représente un Bitcoin réel stocké dans la réserve. Les exchanges l’utilisent pour effectuer des transactions entre eux de manière rapide et privée, plutôt que d’attendre le réseau principal, qui est plus lent.Bitfinex, BTSE et BitMEXfont partie des plateformes liées au réseau, ainsi qu’unfédération de plus de 80 bureaux de changeEntreprises d’infrastructure et gestionnaires de actifs.

La raison pour laquelle quelqu’un peut faire confiance à cela, c’est la promesse : 1 L-BTC entré, 1 BTC sorti, pouvant être échangé à tout moment. Cette promesse constitue le “pied de métronome” ; les réserves financières constituent ce qui soutient cette promesse. Lorsque les réserves financières atteignent 4 200 bitcoins, le réseau peut honorer chaque L-BTC en attente. Le piratage n’a pas réussi à pénétrer le coffre contenant ces bitcoins – il a plutôt perturbé les systèmes de comptabilité qui déterminent quelles sont les demandes légitimes concernant ce coffre.

Le problème se trouvait dans Elements, le logiciel open source qui fait fonctionner Liquid. Une routine de mise en cache permettait aux nœuds d’effectuer des vérifications cryptographiques pour économiser de l’énergie informatique. Mais ce bug permettait à un attaquant de soumettre des données invalides, qui étaient prises pour des données déjà vérifiées. Cela leur a permis de créer environ 4 000 L-BTC, qui n’étaient pas liés à du Bitcoin réel. Ils ont ensuite transmis ces tokens falsifiés via le canal de conversion autorisé par un membre de la fédération, ce qui a permis de les transformer en Bitcoin réel sur la chaîne de blocs.A fait descendre le réservoir à environ 197 BTC.Le signataire multiple a approuvé la transaction, car, du point de vue de celui-ci, la demande était légitime. Pas d’intrus, pas de clé volée, pas de force utilisée. Juste un code partagé qui croyait en une fausse information.

“Chapeau blanc” est le label qui fait le travail.

Les attaquants se sont identifiés sur la chaîne blockchain en envoyant un message qui disait essentiellement : « Nous sommes des “white hats”. Nous avons drainé l’argent pour forcer la correction du bug. Nous le rendrons si vous corrigez le problème. » Après que Blockstream a confirmé la correction du bug…Environ 3 400 BTC ont été récupérés.Environ 85 % de ce qui a été volé est resté entre leurs mains. Les 598,5 BTC restants, valant environ 47 millions de dollars, sont restés avec eux en tant que « bug bounty » déclaré par eux-mêmes. Ils ont demandé à Blockstream de les rembourser.

La terminologie ici est l’analyse. Personne dans le monde du Bitcoin ne conteste que la détection et la divulgation responsable d’une vulnérabilité soient légitimes ; toute la controverse consiste à savoir si prendre des actifs sans autorisation et les garder pour une rémunération compte comme telle. Blockstream affirme qu’il ne le fait pas. Dans sa déclaration, l’entreprise…On appelle cet acte vol, sans aucune responsabilité de divulgation.Et il a déclaré que payer ces frais créerait un précédent qui forcerait les développeurs open-source à payer une somme exorbitante selon les exigences des attaquants. Il a également affirmé qu’il ne paierait pas avec ses propres fonds, qu’il ne ferait pas en sorte que les utilisateurs subissent de lésions financières, et qu’il utiliserait tous les moyens légaux possibles, en collaboration avec les forces de l’ordre, les exchanges et les entreprises de recherche forensique, pour récupérer les cryptos.

C’est une décision de gouvernance défendable, mais elle est également coûteuse. Refuser de payer le rançon n’équivaut pas à récupérer l’argent. Le langage utilisé pour justifier cette décision masque silencieusement la question dérangeante qui se pose : si les 598,5 BTC ne sont pas récupérés et que Blockstream ne met pas en place lui-même les réserves nécessaires, alors il ne reste qu’une solution possible : maintenir le rapport de change fixe.

Qui, au juste, mange les 15 % ?

C’est la partie qui est la plus importante pour toute personne ayant eu affaire à Liquid. Mais elle reste non résolue. Une promesse de remboursement 1 pour 1 n’est pas aussi bonne que les réserves qui se trouvent derrière elle. Environ 598 BTC…4,205 personnes qui ont autrefois soutenu le réseauMaintenant garé à un adresse contrôlée par ceux qui l’ont obtenu, la réserve est inférieure de environ 47 millions de dollars par rapport à ce qu’elle doit. Comme le L-BTC est interchangeable – chaque unité est identique, et il n’y a aucun moyen de distinguer les tokens “sûrs” des tokens “compromis” – toute la quantité restante est techniquement sous-collatérale, et non seulement la partie qui a été perdue à cause du vol.

Dans les déclarations de Blockstream, on dit qu’ils ne feront pas en sorte que les utilisateurs deviennent « coiffés » pour obtenir le paiement du prix de rançon. C’est donc une espoir quant au résultat, et non une réalité concernant le bilan financier. Si l’argent est rendu volontairement, ou si les forces de l’ordre le récupèrent, alors la réserve sera restaurée sans aucun coût pour personne. Sinon, et si Blockstream respecte sa promesse de ne pas utiliser son propre capital, alors la réserve restera sous-financée, et les 47 millions de dollars constituent une revendication réelle, non résolue, contre les détenteurs de L-BTC et les exchanges qui les échangeent pour les clients. Dire que « le Bitcoin ne fait pas perdre aux utilisateurs leurs cheveux » ne empêche pas pour autant que cela se produise ; il détermine simplement qui reste avec les ressources restantes.

Le réseauRepris la production des blocs le 10 septembre.De plus, les dispositifs de fixation restent désactivés par précaution – c’est une mesure raisonnable, mais cela rappelle aussi que la porte de sortie n’est pas encore ouverte. Pour un système dont l’unique avantage face aux institutions est qu’il est monotone, confidentiel et fiable, ce manque de fiabilité, ajouté à un processus de récupération qui dure plusieurs mois, constitue précisément une forme de dégradation de la confiance qui ne se manifeste pas sous forme de chiffres sur le bilan financier.

Il existe également une limite quant à la manière dont un investisseur en actions peut acheter ou vendre ces actifs. Blockstream est une entreprise privée.Sa valeur publique était d’environ 3,2 milliards de dollars lors d’une augmentation de capital en 2021.— Donc, il n’y a aucun actif en capital-risque qui soit listé pour être acheté ou vendu sur les informations disponibles. L’exposition d’un investisseur retail est plus concrète qu’un titre financier : elle se manifeste par la possession de L-BTC, ou par des transactions sur une bourse qui utilise le système de settlement liquide. Il peut y avoir une pression de remboursement sur les unités en circulation. De plus, cela concerne également la réévaluation du niveau de confiance que les tokens tokenisés et les mécanismes de settlement sur le sidechain méritent vraiment.

L’enseignement à retenir n’est pas que les chaînes de sidechain fédérées sont condamnées à échouer. C’est plutôt que leur sécurité dépend autant du logiciel partagé que des clés protégées. De plus, une faille dans la logique qui détermine ce qui constitue une réclamation peut affecter des fonds qui n’ont jamais été touchés par la signature de quiconque. Blockstream a tracé une ligne qu’il pense être correcte. Ce qu’il n’a pas fait – et ne peut pas faire par annonce – c’est de décider qui finira par supporter les 47 millions de dollars. Cette décision est encore en cours de prise, avec une demande légale, une négociation pour récupérer des fonds, et une opération de remboursement, un par un. Le lecteur qui possède le token n’est donc pas un simple spectateur de cette processus.