Contexte et architecture du Liquid Network

Le Liquid Network, lancé en 2018 par Blockstream Inc., est une sidechain Bitcoin de niveau deux. Il repose sur le projet open‑source Elements, qui fournit le cadre de la chaîne latérale et le mécanisme de validation centralisée. Contrairement au réseau Bitcoin public, où plusieurs milliers de nœuds complets vérifient chaque transaction, le Liquid Network confie la validation à un groupe d’environ 80 organisations – exchanges, fournisseurs de portefeuilles, etc. À tout instant, seules 15 de ces entités sont actives, ce qui réduit le temps de confirmation mais introduit un point de concentration.

Les utilisateurs déposent leurs bitcoins dans le module SideSwap. Le dépôt est verrouillé dans un coffre virtuel et un stablecoin natif, le L‑BTC, est émis à valeur égale. Le retrait inverse, appelé « peg‑out », libère les bitcoins originaux. Le processus de peg‑out repose sur une clé d’autorisation de peg‑out (PKA), stockée dans le système et utilisée pour signer la transaction de sortie.

Vulnérabilité exploitée et mécanisme du vol

Les hackers ont ciblé une faille dans Elements, décrite par les développeurs de SideSwap comme une faiblesse de la gestion de la PKA. Bien que les mainteneurs affirment que la PKA n’a pas été compromise, le code a permis aux attaquants de générer des autorisations de peg‑out non légitimes, contournant ainsi le contrôle centralisé. Cette anomalie a conduit au vol de 4 000 bitcoins, soit environ 95 % des réserves Bitcoin du réseau. La valeur estimée du vol s’élève à 320 M$.

Le mécanisme exact n’est pas détaillé dans le rapport, mais il implique probablement une injection de données malformées dans le module de validation d’Elements, déclenchant une exécution non prévue de la fonction de création de peg‑out. L’absence de vérification stricte de la provenance de la PKA a permis aux attaquants de forger des signatures valides sans posséder la clé réelle.

Réaction, retours et implications sécuritaires

Après la découverte, Blockstream a publié un correctif qui renforce la validation de la PKA et introduit des contrôles supplémentaires sur les appels de peg‑out. Les hackers ont restitué 3 402 bitcoins (environ 47 M$), conservant 598 bitcoins comme « bounty ». Cette restitution partielle a été annoncée via un message intégré dans une transaction Bitcoin publique, soulignant la volonté des auteurs de mettre en avant la vulnérabilité.

Le vol représente une proportion élevée du capital du réseau, exposant les risques inhérents aux architectures centralisées même dans des solutions de type sidechain. La concentration de la validation sur un petit nombre d’entités augmente la surface d’attaque, tandis que la dépendance à un composant open‑source unique (Elements) crée un point de défaillance partagé. Les opérateurs de sidechains devront désormais auditer plus rigoureusement les modules de gestion des clés et envisager des mécanismes de multi‑signature ou de threshold signatures pour réduire la confiance unique sur la PKA.

Dans le contexte plus large, ce vol s’ajoute aux 50 incidents de cybersécurité qui ont coûté 136,3 M$ en août, rappelant la nécessité d’une surveillance continue et d’une réponse rapide aux vulnérabilités critiques dans les infrastructures financières décentralisées.