La chaîne latérale Bitcoin Liquid, appartenant à Blockstream, a été mise hors ligne depuis dimanche. Un retrait d'environ 4 000 BTC a été observé depuis le portefeuille fédéral soutenant les L-BTC en circulation, ce qui équivaut à environ 320 millions de dollars américains selon les prix mentionnés dans l'article ; après l'événement, les nœuds de pont ont été désactivés.
Les fonds sortent par le chemin de rachat normal
Selon Liquid et son membre fédéral SideSwap, un client a envoyé 4 000 L-BTC à SideSwap à 14:05 UTC. Ces jetons ont ensuite été détruits sous autorisation valide, et 23 minutes plus tard, le portefeuille fédéral a effectué le paiement d'environ 3 996 BTC.
Liquid indique que les fonds ont été transférés via la clé d'autorisation de peg-out de SideSwap, mais aucune de ces clés ni aucune autre clé fédérale n'a été compromise. SideSwap affirme également que son système n'a pas été piraté et attribue le problème à une vulnérabilité dans le logiciel Elements utilisé par Liquid.
Le rapport indique que Blockstream n'a pas encore divulgué publiquement les détails exacts de la vulnérabilité. Toutefois, le logiciel sous-jacent de Liquid a intégré les correctifs correspondants il y a cinq semaines. Selon les informations actuellement divulguées, personne n'a forcé le transfert de bitcoins depuis des portefeuilles ; au lieu de cela, des L-BTC non soutenus par des bitcoins ont été créés, puis échangés contre des BTC via un processus de rachat apparemment normal.
Le solde du portefeuille fédéral est tombé à environ 200 BTC
Avant l'événement, le portefeuille fédéral concerné détenait environ 4 200 BTC. Après l'événement, le solde est tombé à environ 200 BTC, soit environ 5 % du niveau précédent.
- Volume de sorties anormales : environ 4 000 BTC
- Solde du portefeuille après l'événement : environ 200 BTC
- Écart de temps de règlement des fonds : environ 23 minutes
Une chronologie publiée par Samson Mow, ancien responsable de la sécurité de Blockstream, montre que l'adresse concernée détient actuellement environ 3 998,5 BTC.
Laisse un message sur la chaîne en se présentant comme un white hat
La partie effectuant le retrait a laissé un message sur la chaîne indiquant : « Nous sommes des white hats, veuillez nous contacter sur la chaîne. » Par la suite, Blockstream a répondu en utilisant l'adresse e-mail incluse dans le message sur la chaîne, et les deux parties auraient continué à communiquer via des messages signés PGP dans des transactions Bitcoin.
Charles Guillemet, CTO de Ledger, a initialement exprimé des doutes concernant la notion de « white hat », estimant qu'un véritable white hat ne retirerait pas les fonds du pont avant de demander un contact sur la chaîne. Il a ensuite ajouté que certains prétendus white hats refusent désormais de restituer les fonds avant la correction de la vulnérabilité.
Les autres actifs ne sont pas concernés pour le moment.
Les informations actuellement divulguées indiquent que d'autres actifs sur Liquid, notamment USDT, DePix et les actifs du monde réel tokenisés, ne sont pas affectés. La blockchain Bitcoin elle-même n'est pas non plus impactée.
Cela signifie que l'impact de l'événement est principalement concentré sur le mécanisme de pont et de cartographie des actifs de la chaîne latérale Liquid, et non sur le réseau Bitcoin lui-même.