Blockstream a annoncé le 7 septembre que ses nœuds de pont du réseau Liquid ont été corrigés et sécurisés, ouvrant la voie au retour d'environ 4 000 BTC, d'une valeur d'environ 320 millions de dollars, qui avaient été frauduleusement vidés du wallet de la Liquid Federation la veille.
L'exploitation, issue d'une faille dans le logiciel Elements à la base de la sidechain Liquid, a permis à un attaquant de déclencher un peg-out valide en utilisant des L-BTC invalides. Les systèmes automatisés de la fédération n'ont pas pu faire la différence.
Qu'est-ce qui s'est passé le 6 septembre
L'attaquant a exploité une vulnérabilité dans le code Elements pour abuser de la clé d'autorisation de Peg-out, ou PAK, de SideSwap. Cette clé fait partie du mécanisme qui convertit le L-BTC (le Bitcoin emballé de la sidechain Liquid) en BTC natif sur la blockchain principale de bitcoin.
Le résultat a été catastrophique pour les réserves de la fédération. Avant l'exploitation, le wallet de la Liquid Federation contenait plus de 4 200 BTC. Après, ce chiffre est tombé à environ 197 BTC.
Ces chiffres signifient que L-BTC a été soudainement et considérablement sous-collatéralisé. Pour chaque token L-BTC en circulation sur le réseau Liquid, il devait y avoir un BTC réel qui le soutenait. Après l'exploit, moins de 5 % de ce soutien restaient dans le wallet.
Blockstream a agi rapidement. Les nœuds de pont ont été désactivés, l'activité du réseau a été suspendue, et les plateformes d'échange ont été invitées à suspendre tous les dépôts et retraits de L-BTC pour éviter des dommages supplémentaires.
Une clarification importante de la part de Blockstream : aucun PAK ni aucune clé de fédération n'a été effectivement compromise. L'exploitation était entièrement une faille logicielle, et non une violation des clés cryptographiques qui régissent le modèle de sécurité multi-signatures du réseau.
Un canal de négociation très inhabituel
Le détail le plus frappant de cet incident est la manière dont les deux parties ont communiqué. Blockstream et l'exploiteur ont échangé des messages via des transactions OP_RETURN signées PGP sur la blockchain Bitcoin elle-même.
Pour les non-techniques : OP_RETURN est un champ de transaction Bitcoin qui permet d'intégrer un petit montant de données arbitraires. Dans ce cas, il est devenu un système de messagerie sécurisé, public et vérifié cryptographiquement entre une grande entreprise de blockchain et la personne qui vient de vider ses réserves.
L'attaquant, à travers ces messages sur la chaîne, a indiqué son intention de restituer la majorité des fonds volés une fois les systèmes confirmés comme corrigés.
Le 7 septembre, Blockstream a confirmé via le même canal que les correctifs étaient en place et a encouragé le retour rapide des fonds.
À cette date, environ 3 998,5 BTC n’avaient pas bougé depuis l’adresse du destinataire. La légère différence par rapport aux 4 000 BTC originaux reflète probablement les frais de transaction engendrés lors de l’exploitation elle-même.
Dommages collatéraux et ce qui a été épargné
Bien que l'exploitation ait dévasté les réserves de BTC garantissant L-BTC, les autres actifs sur le réseau Liquid semblent avoir échappé à tout dommage. USDT et DePix, une stablecoin indexée sur le real brésilien, fonctionnent tous deux sur Liquid mais ont été déclarés non affectés par l'incident.
La vulnérabilité était spécifique au mécanisme de peg-out pour L-BTC, et non une faille générale du traitement des transactions de la sidechain.
Quoi de nouveau
La priorité immédiate est le retour des environ 3 998,5 BTC. Si l'exploiteur respecte son intention déclarée, Blockstream pourra rétablir le ratio de garantie des L-BTC et reprendre les opérations normales du réseau Liquid.
Les plateformes d'échange qui ont suspendu le trading de L-BTC conserveront probablement ces suspensions jusqu'à ce que la situation soit entièrement résolue.