« Rendez-nous les bitcoins » : Blockstream met le holà après un piratage de 4 000 BTC

Il reste près de 4 000 BTC, mais la majeure partie a été récupérée

Tout a commencé le 6 septembre par un événement qui semblait déjà assez étrange en soi : près de 4 000 BTC ont disparu des réserves reliées au réseau Liquid de Blockstream, et les responsables ont immédiatement annoncé sur la blockchain Bitcoin qu’ils étaient des « white hats ». Puis les choses sont devenues encore plus étranges.

Le groupe a commencé à communiquer avec Blockstream par le biais de minuscules transactions en bitcoins contenant des messages OP_RETURN, transformant de fait la blockchain en un forum public. Après une série d’échanges publics et cryptés, le groupe a restitué 3 400 BTC.

Mais environ 598,5 BTC sont restés sur place. C’est là que l’histoire a déraillé.

Une prime de 10 % se transforme en ultimatum

Au lieu de simplement restituer le reste, le groupe a exigé que Blockstream verse une prime de 10 % sur ses propres fonds. Il a également averti que le refus de cette demande pourrait exposer les détenteurs de Liquid à une perte de 15 %. Il devenait de plus en plus difficile de qualifier cela de simple divulgation de vulnérabilité.

Les chercheurs « white hat » identifient généralement les failles de sécurité, les signalent et négocient une rémunération par les voies habituelles. Ici, près de 600 BTC étaient retenus tandis qu’un paiement était exigé. Blockstream a désormais clairement indiqué qu’il voyait les choses d’un tout autre œil.

« Blockstream ne paiera pas de rançon pour récupérer les fonds volés », a souligné la société le 11 septembre sur X. « S’emparer d’actifs sans autorisation et en retenir la restitution constitue un délit, et non une divulgation responsable. »

Blockstream affirme que les détenteurs de bitcoins ne paieront pas la rançon

La société a également rejeté l’idée selon laquelle les utilisateurs de Liquid devraient absorber les pertes pour satisfaire cette exigence. « Le Bitcoin est une monnaie forte qui ne peut être créée sans coûts ; le Bitcoin n’impose pas de décote aux utilisateurs pour payer une rançon », a écrit Blockstream. Cette déclaration touche au cœur même du litige sur le plan financier. Quelqu’un doit en fin de compte rendre des comptes pour les près de 600 BTC qui n’ont pas été restitués. La position de Blockstream est que les utilisateurs ne devraient pas, en réalité, financer le paiement des personnes qui se les sont appropriés. La société a déclaré que ses négociations précédentes avaient été menées de bonne foi afin de récupérer les fonds des utilisateurs, et non parce qu’elle acceptait les conditions des pirates.

Les alertes de sécurité ajoutent un nouveau rebondissement

Une autre complication vient s’ajouter à cette affaire. Calle, co-responsable de Bitcoin Red Team, a affirmé que son groupe avait averti Blockstream de la vulnérabilité avant l’attaque, ironisant sur le fait qu’il en aurait apparemment coûté « 600 BTC pour ignorer un e-mail de la red team ».

L’ancien responsable de la sécurité de Blockstream, Samson Mow, a réfuté ces allégations, affirmant qu’aucun e-mail n’avait été ignoré. Ces versions contradictoires n’ont pas encore été entièrement conciliées, et la Bitcoin Red Team a déclaré qu’elle comptait publier sa propre version du processus de divulgation une fois que Blockstream aura publié son rapport d’analyse rétrospective.

Blockstream doit donc désormais faire face à deux polémiques simultanées : ce qui s’est passé avant l’exploitation de la faille et ce qu’il devrait advenir des bitcoins par la suite. Au-delà de la perte de près de 600 BTC, l’entreprise a également dû faire face aux répercussions sur sa réputation de toute cette affaire, qui s’est rapidement transformée en un désastre en termes de relations publiques.

« Écrivez du code de mauvaise qualité, vous aurez de gros problèmes », a écrit un utilisateur de X en réponse à la dernière exigence de Blockstream. « Le Bitcoin est, par conception, sans autorisation. Allez pas pleurer auprès des autorités maintenant que vous avez tout foiré avec du mauvais code », a ajouté le compte. « Blockstream se tire une balle dans le pied en poignardant dans le dos le type qui leur a donné 3 400 BTC », a écrit un autre compte X. La personne a ajouté :

« La prochaine fois que Liquid se fera vider, ils garderont 100 % des pièces. Arrêtez d’être aussi radins et assumez la responsabilité de votre merde. »

Blockstream menace de lancer une chasse bien plus importante

Le dernier message de Blockstream ne laisse guère de place au doute quant à la deuxième question.

Si les fonds ne sont pas restitués, l’entreprise affirme qu’elle prévoit de collaborer avec les forces de l’ordre, les plateformes d’échange, les prestataires de services, les experts en criminalistique et d’autres acteurs pour retracer les bitcoins et identifier les responsables. L’entreprise a également souligné une caractéristique gênante pour quiconque tenterait de faire disparaître près de 600 BTC : les transactions en bitcoins laissent une trace publique permanente.

Pour un groupe qui se qualifiait initialement de « white hat », la situation est bien loin d’un simple rapport de bug. Près de 4 000 BTC avaient disparu. La plupart ont été récupérés. Des centaines de bitcoins n’ont pas été retrouvés. Et la réponse de Blockstream à la demande restante tient désormais en quatre mots :

« Rendez les bitcoins. »