L'équipe de sécurité, qui a déjà mis au jour des milliers de failles, a fait allusion à une divulgation antérieure du bug qui avait permis à un hacker « white hat » de prendre le contrôle de près de 4 000 BTC. Calle, qui dirige l'équipe, a souligné que Blockstream avait ignoré leurs e-mails avant l'incident.
La « Bitcoin Red Team » affirme que Blockstream a ignoré les avertissements avant le piratage
ÉCRIT PAR
PARTAGER
Points clés à retenir
- La Bitcoin Red Team a affirmé avoir averti Blockstream avant le piratage, ce qui a alimenté le débat sur les pertes qui auraient pu être évitées.
- Blockstream a nié avoir ignoré les alertes de sécurité, attribuant la vulnérabilité à un correctif d’IA défectueux.
- Liquid a rétabli les transactions le 10 septembre, mais les « peg-outs » restent désactivés et près de 600 BTC sont toujours manquants.
Bitcoin Red Team aurait signalé un bug de Liquid avant l’incident des 4 000 BTC
Alors que la lutte pour récupérer les quelque 600 BTC restants suite à l’exploit de Liquid se poursuit, un groupe de développeurs spécialisés en sécurité a souligné que ce vol aurait pu être évité dès le départ.
La Bitcoin Red Team, un groupe de bénévoles dédié à l’audit et à la divulgation des vulnérabilités au sein des projets liés au bitcoin, qui a pris de l’ampleur après l’exploitation de Coldcard, a indirectement laissé entendre qu’elle avait déjà signalé la vulnérabilité exploitée pour transférer près de 4 000 BTC depuis les portefeuilles de la fédération Liquid.
En réponse à un message du fondateur et PDG de Blockstream, Adam Back, qui expliquait que le bug à l’origine du piratage avait été introduit « à la suite d’une correction incorrecte d’un bug détecté par l’IA, qui n’était d’ailleurs pas critique », Calle, co-responsable de la Bitcoin Red Team, a déclaré :
« Il s’avère qu’il ne vous en coûte que 600 BTC d’ignorer un e-mail de la Red Team. »
Calle a poursuivi en affirmant que les déclarations de Back étaient inexactes et que Blockstream n’avait fait que « mentionner de manière sélective et inexacte les correctifs, sans fournir un historique complet et très clair des reconnaissances ».
Néanmoins, l’ancien CSO de Blockstream, Samson Mow, a souligné qu’aucun e-mail n’avait été ignoré, affirmant que ces insinuations portaient atteinte au professionnalisme de la Red Team.
« Nous laisserons à Blockstream le temps de rétablir un fonctionnement normal et de publier une analyse rétrospective du piratage de Liquid avant de partager notre propre compte rendu complet du processus de divulgation », a conclu Calle, faisant allusion à des versions contradictoires des mêmes événements ayant conduit au piratage.
Alors que le réseau de sidechain était resté à l’arrêt depuis la divulgation de l’incident, Liquid a relancé, le 10 septembre, la production de blocs sans toutefois activer les transactions. Au moment de la rédaction de cet article, les transactions ont été activées et les nœuds valident les blocs. Néanmoins, les « peg-outs » restent désactivés « par mesure de précaution », sans qu’aucun délai précis ne soit fixé pour leur reprise.
Le hacker « white hat » contrôle toujours les BTC restants, ce qui signifie qu’un tiers devrait déposer les actifs nécessaires pour garantir un ancrage 1:1 entre le BTC et le L-BTC, l’actif natif de Liquid.
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
