Contexte du vol

Le 8 septembre 2026, un acteur non identifié a détourné environ 4 000 BTC, soit près de 340 millions de dollars, depuis le portefeuille de Liquid Network, la solution de règlement inter‑exchange lancée en 2018 par Blockstream. Cette plateforme, utilisée par plusieurs bourses majeures, centralise les fonds avant leur transfert, ce qui en fait une cible de choix pour les attaques de grande ampleur. Le vol figure parmi les plus importants de l’année, selon le classement Rekt qui recense les pertes en cryptomonnaies.

Exploitation du bug

Les premiers rapports indiquent que le hacker a tiré parti d’une vulnérabilité logicielle du code de gestion des sorties de Liquid. Le défaut permettait d’émuler une transaction de retrait sans les contrôles de signature habituels, contournant ainsi le mécanisme de consensus qui garantit l’intégrité des mouvements de fonds. Aucun détail technique n’a été publié, mais la nature du bug suggère une faille au niveau du module de validation des scripts, typiquement implémenté en Rust dans les nœuds de Blockstream.

Réponse de Blockstream et restitution

Blockstream a immédiatement suspendu les opérations de Liquid, comme annoncé sur X, afin de prévenir d’autres exfiltrations. L’entreprise affirme avoir corrigé le défaut, ce qui a permis au hacker, se présentant comme « white hat », de restituer 3 400 BTC, soit environ 93 % du total volé. Les 600 BTC restants, évalués à 47 millions de dollars, restent sous le contrôle du pirate, qui a indiqué qu’il attendrait de nouvelles mesures de sécurité avant de procéder à un éventuel retour complet.

Analyse des impacts et limites

Le vol expose la dépendance de Liquid à une architecture centralisée où un seul point de défaillance peut compromettre des milliards de dollars. La correction du bug montre que les processus de revue de code et de test n’étaient pas suffisants pour détecter la faille avant le déploiement. La pause prolongée de la plateforme retarde les transactions inter‑exchange, affectant la liquidité du marché. En outre, l’absence de transparence sur les spécificités du correctif limite l’évaluation indépendante de la robustesse du nouveau code, laissant une incertitude quant à la résilience future de Liquid face à des attaques similaires.