Le redémarrage du liquide est vide de blocs. Qui mange les 47 millions de dollars manquants ?

Le week-end dernier,Environ 320 millions de dollars en Bitcoin ont été retirés du réservoir qui soutient Liquid.Le sidechain de settlement développé par Blockstream pour les exchanges. Dès jeudi, le réseau a de nouveau créé des blocs ; les médias ont annoncé qu’il avait « redémarré ». Ce qui est vraiment important…Les nouveaux blocs sont vides.Un blockchain qui produit des blocs vides ne peut être récupéré. Il continue à fonctionner sans rien, tandis que ses propriétaires cherchent à savoir qui a perdu quoi.

Le coffre qui était vidé…

Le liquide est le moyen par lequel les échanges et les marchés permettent aux différents acteurs de transférer des bitcoins entre eux rapidement, sans avoir à attendre sur la chaîne principale de Bitcoin. L’argent entre dans le système sous forme de L-BTC, un token qui doit servir à…Une demande un pour un concernant des bitcoins réels, stockés dans une portefeuille partagé.Contrôlé par un groupe de fonctionnaires. Vous mettez l’argent dans le système, et le portefeuille conserve vos BTC ; vous en retirez l’argent, et vous le récupérez. La promesse économique de la chaîne secondaire est que un L-BTC équivaut toujours à un BTC, car le même nombre de BTC réels se trouve derrière elle.

Le 6 septembre, cette promesse s’est effondrée. Le portefeuille de la fédération contenait environ 4 200 BTC ; en un seul événement…Environ 4 000 d’entre eux, soit environ 95 % de la réserve, ont été payés.L’attaquant n’a pas réussi à obtenir une clé privée, et le système de signature à 11 sur 15 a fait son travail. Le problème se trouvait dans la couche logicielle qui détermine ce qui constitue une transaction valide.Une faille dans la mémoire de cache “range proof” d’ElementsOn permet à quelqu’un de créer des tokens L-BTC qui n’ont aucun véritable Bitcoin derrière eux. Ensuite, ces tokens falsifiés sont transmis via SideSwap, un service de conversion, pour être considérés comme du vrai BTC. Le “gatekeeper” est trompé, donc les signatures sont accordées.

Le problème des bons gens

Ici, les choses deviennent étranges. Les personnes qui ont réussi à éliminer ce problème se sont appelées « white-hats » et ont dit qu’elles restitueraient le produit si Blockstream corrigeait d’abord le bug. Blockstream a effectivement corrigé le bug…Ils ont reçu 3 400 BTC.Ils ont gardé environ 598 BTC, d’une valeur d’environ 47 millions de dollars, en tant que récompense. Personne n’a révélé publiquement à quoi ressemble cet argent.

Maintenant, faites les calculs : c’est là que “les transactions se font sans actifs” cesse d’être une métaphore. Commencez par 4 200, soustrayez les 4 000 qui ont été perdues, ajoutez à nouveau les 3 400 qui sont revenus. Le solde restant est donc d’environ 3 600 BTC. Cela représente encore environ 600 BTC – soit environ 47 millions de dollars – en inférieur de ce dont il faut pour couvrir chaque L-BTC en circulation. Au point le plus bas, avant que l’argent ne revienne…La réserve avait chuté à environ 197 BTC.La personne qui est finalement responsable de ces 47 millions de dollars manquants – Blockstream, les exchanges qui ont émis les L-BTC, ou les détenteurs eux-mêmes – n’a pas encore été identifiée. Ce déficit non résolu, qui constitue le fondement même de la promesse un pour un du token, est en réalité ce qui fait toute la vacuité. Pas seulement des blocs vides : un coffre-fort vide.

Qui paie pour un niveau de confiance gelé ?

Le Bitcoin lui-même n’a pas été piraté. La couche de base n’a jamais “cligné” ; tout ce qui a pu être compromis se trouve dans le logiciel de validation de la sidechain. Il s’agit donc d’un avertissement concernant le type de Bitcoin que vous possédez, et non concernant le Bitcoin en tant que tel.

Si vous possédez des L-BTC, ou des stablecoins ou des actifs tokenisés qui se trouvent sur un tel réseau, votre argent peut être gelé en raison d’une erreur de quelqu’un d’autre. De plus, votre soutien financier “un pour un” peut être dilué sans que personne ne s’en rende compte. Les exchanges ont suspendu les dépôts et les retraits de L-BTC dès que cela s’est produit, et cette suspension persiste. L’argent situé sur une chaîne secondaire n’est pas aussi portable, ni aussi bien soutenu, que les lignes de code les plus faibles de cette chaîne secondaire.

La logique de la plomberie ne se soucie pas du fait que l’attaquant porte un chapeau blanc ou noir : une couche de confiance qui permet à un token non étayé par des garanties de sortir de l’établissement comporte un coût de conception, et quelqu’un finira par en payer le prix. Les institutions qui comptaient sur Liquid pour les transactions financières doivent maintenant reconsidérer leur utilisation de ce système.

Pour la plupart des lecteurs, l’action est simple : le Bitcoin que vous possédez directement, dans une portefeuille sous votre contrôle, n’a jamais été touché. Le risque réside dans les versions enveloppées et côté-chain du Bitcoin – celles qui dépendent de la signature correcte par un autre logiciel. Si cette information vous effraie, ne vendez pas votre Bitcoin. Demandez-vous quel Bitcoin vous possédez réellement, et qui est à l’autre bout de cette responsabilité.