L’exploitation liquide a brisé l’équilibre, pas Bitcoin… Et 47 millions de dollars restent manquants.

Le 6 septembre, quelqu’un a transféré environ 4 000 Bitcoins depuis le portefeuille qui soutient le réseau Liquid de Blockstream. Cela représentait environ 320 millions de dollars à l’époque, soit 95 % du montant total.4 000 des 4 200 bitcoins que le réseau garde en réserve.Ce qui rendait l’histoire inhabituelle, ce n’était pas la taille de l’objet en question. C’était la note que les transporteurs avaient laissée sur le blockchain Bitcoin.Ils se définissent comme des « chercheurs en sécurité blancs ».Promettant de rendre l’argent une fois que le problème serait résolu. Ils…3 400 bitcoins sur les 4 000 initialement existants ont été retournés.En moins d’une journée. Les titres de presse ont qualifié cela de « près d’un accident » : les pirates s’étaient révélés être des gens bien.

Le livre de comptes raconte une histoire différente, plus utile… Et il est toujours ouvert.

Le liquide n’est pas le Bitcoin. C’est quelque chose de différent.Sidechain Bitcoin, développé par Blockstream en 2018Où les transactions et les émetteurs régulent la valeur de manière rapide et avec des montants confidentiels. Chaque token, appelé L-BTC, est censé être soutenu un pour un par le Bitcoin réel, qui se trouve dans un portefeuille multisig contrôlé par…fédération de 15 entreprisesPour autoriser une transaction, il est nécessaire que 11 de leurs signatures soient apposées. Cet ensemble de signatures constitue la garantie complète de l’échange. Il n’y a pas de consensus cryptographique au niveau de Liquid, comme c’est le cas pour la couche de base de Bitcoin. Il y a simplement un petit groupe de signataires et leur logiciel.

Le logiciel est le point où il a eu des problèmes. Liquid fonctionne sur Elements, un programme open source lié au Bitcoin.Erreur dans la manière dont il stocke les vérifications anti-range— Les virements qui prouvent qu’une certaine somme n’a pas été créée de toutes pièces… Les attaquants ont donc créé environ 4 000 L-BTC, sans aucun fondement réel. Ils ont ensuite envoyé ces tokens contrefaits via SideSwap, une plateforme automatisée permettant l’émission de Bitcoin réels, sans aucune limite en termes de montant ou de vitesse de paiement. Onze des quinze fédérations signataires ont validé les retraits.Le portefeuille Peg est passé de environ 4 200 Bitcoins à 197.En une seule après-midi.Aucune clé privée n’a été compromise.La création de cette monnaie était non authentique ; l’émission de cette monnaie était entièrement autorisée.

Cette distinction est importante, car c’est la partie que les investisseurs de détail peuvent conserver. Le Bitcoin lui-même n’a pas été piraté : son système de règlement, son mécanisme de preuve de travail, ses registres ont été intacts. Ce qui a échoué, c’est le système qui était basé sur ce Bitcoin : l’idée selon laquelle chaque L-BTC pouvait être converti en Bitcoin réel dès que le détenteur le souhaitait. Pendant quelques heures le 6 septembre, un détenteur de L-BTC avait une créance sur une réserve dont la valeur était tombée à quelques centimes par token.

Le retour de 3 400 Bitcoins a restauré la plupart de cette soutien – mais pas tout.598,5 bitcoins, d’une valeur d’environ 47 millions de dollars., est toujours entre les mains des déménageurs. Et les “chapeaux blancs” se sont révélés vouloir être payés.Les notes on-chain exigeaient 10 % du valeur en guise de “bug bounty”.Avec une menace selon laquelle le refus entraînerait une perte de 15 % pour tous les détenteurs de liquid. Le vendredi 11 septembre, Blockstream a refusé publiquement et a décrit toute cette situation avec ses propres mots.

Prendre des biens sans autorisation et ne pas les restituer est un crime ; il s’agit d’une action non responsable.Ce n’est pas une activité de type « white hat ». C’est un vol.

Le message de Blockstream pour ceux qui possèdent encore des bitcoins est deux mots :“Retourner le Bitcoin”L’entreprise déclare qu’elle travaillera avec les forces de l’ordre, les échanges et les spécialistes en médecine légale pour retrouver les actifs si ceux-ci ne sont pas restitués. Elle refuse également l’idée de payer une rançon qui dépasse sa propre contribution économique au sein du réseau.

Lisez les étiquettes avec attention, car chacune d’elles implique une responsabilité de preuve. « Chapeau blanc » est la description faite par les attaquants eux-mêmes, après avoir pris le contrôle d’une réserve et exiger une partie des fonds – ce n’est pas une constatation, c’est une affirmation. « Vol » est la description donnée par Blockstream, et non une décision judiciaire. Ce qui figure sur le registre, c’est des actions effectuées : environ 4 000 L-BTC créés sans soutien financier, un paiement de près de 4 000 Bitcoins approuvé par un quorum de la fédération, et 598,5 Bitcoins encore stockés en dehors du réseau. Le fossé entre la récupération annoncée et celle effective est de 47 millions de dollars, et ce fossé reste ouvert.

Voici la question de l’investisseur. Il n’y a pas d’actions Blockstream à acheter ou vendre – l’entreprise est privée – donc ce n’est pas un titre sur lequel on peut évaluer le prix. L’événement est important de deux manières. Premièrement, si vous possédez des actifs soutenus par Liquid – comme L-BTC, ou…USDT que Tether émet sur le réseauOu bien un solde de transaction qui y est réglé… Ce déficit de 15 % dépend de celui qui doit couvrir ce manque, sachant que le reste n’est jamais remboursé. De plus, il s’agit de savoir si la fédération ou Blockstream doit compléter ce solde de réserve. C’est une question liée aux parties contractantes ; à ce jour, personne n’a répondu à cette question.Les Peg-outs restent désactivés.Ainsi, la sortie du réseau reste fermée, tandis que les livres sont réconciliés.

Deuxièmement, et de manière plus discrète, cet incident constitue un test pour savoir comment interpréter chaque “layer-2 de Bitcoin”. La sécurité d’une chaîne parallèle comme Liquid n’est pas la même que celle de Bitcoin. Il s’agit plutôt de la sécurité d’une fédération de signataires désignés, ainsi que de la qualité du logiciel qu’ils utilisent – un modèle de confiance qui ressemble plus à celui d’un conseil d’administration ou d’une plateforme de clearing que à celui de la preuve de travail. Cette comparaison est utile, mais elle ne vaut que jusqu’au moment où le logiciel accepte un jeton non vérifié comme valide. C’est là que se situe le danger. L’exploit ne rend pas Bitcoin moins sûr ; il rend plutôt clair le passage de “sécurisé par le réseau Bitcoin” à “sécurisé par une fédération”, avec le prix de cette erreur indiqué en bitcoins.

L’histoire avant l’exploit était simple : les échanges utilisent Liquid pour des transactions rapides et efficaces, et le système de fixation est un à un. Mais le cas actuel n’est pas comme ça. Environ 47 millions de dollars du réservoir se trouvent entre les mains de personnes qui se disent être des “bons gens”. Elles demandent une récompense, et on leur dit que cet argent a été volé. Il faudra observer où ces 47 millions de dollars finiront : soit les détenteurs les consomment eux-mêmes, soit la fédération les couvre, soit les attaquants les rendent finalement. Car c’est ce résultat, et non le titre médiatique du jour, qui détermine ce que chacun doit payer pour pouvoir maintenir ses transactions dans ce système.