La sidechain de couche deux (L2) connue sous le nom de Liquid Network a été mise en pause dimanche après qu’un soi-disant hacker « white hat » a exploité un bug dans le logiciel Elements de Blockstream, selon le compte X SideSwap (la place de marché d’échanges atomiques de Blockstream).
Blockstream traque les « chapeaux blancs » après que 4 000 BTC ont quitté Liquid
ÉCRIT PAR
PARTAGER
Points clés
- Blockstream a mis en pause le réseau Liquid de couche deux (L2) après qu’environ 4 000 BTC, d’une valeur de 320 millions de dollars, ont été retirés par des soi-disant hackers « white hat » le 6 septembre.
- Le bug d’Elements signalé par SideSwap soulève de nouvelles inquiétudes en matière de sécurité après que 3 996 BTC ont été traités via son service de peg-out.
- Blockstream a expliqué qu’elle est en train de contacter les « white hats » alors que l’incident de Liquid reste non résolu. L’entreprise a envoyé un message onchain.
4 000 BTC quittent Liquid alors que Blockstream s’active pour contenir l’exploit
Dimanche après-midi, le limier onchain Ergo BTC a découvert que le réseau Liquid de Blockstream avait été exploité et, à la suite de cette alerte, plusieurs autres ont commencé à relayer l’information. Bitcoin.com News a rendu compte de l’affaire à 15 h 17 (EDT) le 6 septembre et, depuis, les mainteneurs de Liquid ont confirmé l’exploit. À 16 h 25, Blockstream a indiqué qu’environ 4 000 BTC (environ 320 millions de dollars) avaient été retirés et, apparemment, l’action a été menée par des hackers « white hat ».
En gros, les hackers « white hat » sont des experts en cybersécurité éthiques qui exploitent parfois des vulnérabilités comme celle-ci pour démontrer que c’est possible avant que de véritables criminels n’exploitent la même faiblesse. Blockstream a déclaré que le réseau a été mis en pause et que les plateformes d’échange ont été invitées à suspendre les dépôts et retraits de L-BTC.
L’entreprise a également indiqué qu’elle tentait de contacter les white hats onchain. En plus du compte X de Liquid Network, SideSwap.io a aussi révélé que quelqu’un avait exploité un bug dans le logiciel Elements de Blockstream.
« Aujourd’hui à 14:05 UTC, un client a envoyé 4 000 L-BTC au service de peg-out de SideSwap », a écrit le compte X de SideSwap sur la plateforme. « Notre service l’a traité comme n’importe quelle autre demande : les L-BTC ont été brûlés sur Liquid avec une autorisation de peg-out valide, et à 14:28 UTC, la Fédération Liquid a payé 3 996 BTC à l’adresse Bitcoin du client. Blockstream a depuis établi que les L-BTC de cette demande ont été créés grâce à un bug dans le logiciel Elements. »
Remise en question de la revendication « white hat »
La communauté crypto n’a pas été tendre après cet événement, et plusieurs comptes sur X ont critiqué le projet. « Dégagez ce logiciel, vous êtes foutus », a écrit une personne en réponse au message de SideSwap. Par ailleurs, Blockstream a répondu onchain en écrivant « Please contact security@blockstream.com » dans un message OP_RETURN. Le CTO de Ledger, Charles Guillemet, a expliqué que les agissements des soi-disant hackers white hat ne ressemblent pas à ceux d’un white hat typique.
« Ils demandent maintenant à être contactés sur Signal. Ça ne ressemble pas aux pratiques habituelles des white hats, mais les organisations criminelles n’essaient généralement pas non plus de contacter leurs victimes. Il y a de l’espoir. Il pourrait s’agir de personnes animées de bonnes intentions qui ont intensivement joué avec des LLM récents et ne sont pas habituées aux divulgations responsables », a déclaré Guillemet sur X.
Les retombées de Liquid touchent Aqua, alors que Samson Mow détaille l’impact
Samson Mow, PDG de JAN3, l’entreprise de technologie bitcoin qui a développé le portefeuille Aqua Wallet, a également donné son avis. « La théorie de travail est que la vulnérabilité se situe dans les Transactions Confidentielles de Liquid, mais les développeurs ne peuvent pas le confirmer pour le moment. La vulnérabilité est un problème au niveau des nœuds et n’est pas liée aux PAKs ni aux HSMs », a écrit Mow. Il a ajouté que son produit Aqua est impacté.
« Tout le monde travaille activement à résoudre cela et nous partagerons des informations au fur et à mesure de l’évolution de la situation. En tant que portefeuille Liquid BTC, la fonctionnalité Liquid dans Aqua Bitcoin est impactée, mais les transactions Bitcoin continueront de fonctionner normalement. Ce sont des temps difficiles, mais nous nous en sortirons. »
L’exploit Liquid met la sécurité des sidechains sous la loupe
2026 a été une sacrée année en matière d’exploits et de hacks, et cet incident ne fait que jeter du sel sur la plaie. Il met aussi en lumière les sidechains, les bridges, les bugs techniques et la fragilité de la gouvernance. Le fait qu’une sidechain fédérée bien connue doive être mise en pause pour une intervention manuelle est un événement majeur, et c’est assez inhabituel. Surtout pour un produit conçu par une entreprise BTC valorisée 3,2 milliards de dollars. On peut dire qu’avec tous ces exploits dans l’espace crypto, comme le récent bug du firmware Coldcard, la confiance s’érode.
Par ailleurs, l’intelligence artificielle (IA) ou les grands modèles de langage (LLM) sont à nouveau accusés d’avoir trouvé cet exploit spécifique, malgré le fait que Blockstream n’a pas indiqué comment ce bug a été découvert. Les gens continuent de spéculer. En même temps, si les LLM sont de puissants outils de reconnaissance de motifs et peuvent détecter des vulnérabilités, un cas comme celui-ci a probablement exigé une intuition approfondie et contextualisée du protocole. Autrement dit, même si l’IA a probablement aidé, un humain a définitivement appuyé sur la gâchette.
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
