Un hacker siphonne 95% du collatéral du réseau Liquid
Un hacker siphonne 95% du collatéral du réseau Liquid
La sidechain Liquid a annoncé dimanche 6 septembre 2026 que des auteurs se présentant comme des « white hats » ont retiré environ 4 000 bitcoins du portefeuille fédéré qui adosse son jeton natif, le L-BTC, soit 95 % de la réserve.
Développée avec le soutien technique de Blockstream, Liquid repose sur une Fédération de quinze entités identifiées, qui gèrent collectivement le pont entre Bitcoin (le collatéral) et le L-BTC : il faut en principe une majorité qualifiée de onze signatures sur quinze, complétée par des clés d’autorisation de peg-out (PAK), pour faire sortir des fonds de la réserve. Le principe est un adossement un pour un : chaque L-BTC en circulation est censé correspondre à un bitcoin verrouillé dans le multisig de la Fédération.
C’est ce mécanisme qui a été mis en défaut dimanche après-midi. Le retrait s’est présenté comme un peg-out ordinaire, traité via la PAK de SideSwap, échange membre de la Fédération. Liquid a précisé que cette clé n’avait pas été compromise, pas plus que les autres, sans préciser la faille exacte ayant permis l’opération. Les auteurs ont laissé un message OP_RETURN : « we are whitehats. contact us on chain ». Des échanges de messages on-chain ont suivi entre eux et Blockstream, chacun invitant l’autre à le contacter, sans qu’un accord n’ait été rendu public à ce stade.
Dans l’attente d’en savoir plus, les nœuds de pont ont été désactivés et le sidechain mis en pause ; les plateformes ont suspendu les dépôts et retraits de L-BTC. Il n’est évidemment plus possible de convertir les L-BTC et bitcoins. Les autres actifs émis sur Liquid (USDT, DePix, titres tokenisés) ne semblent pas concernés.
Selon SideSwap, l’ordre de peg-out provenait d’un client et a été traité comme une demande normale : les L-BTC correspondants ont bien été brûlés côté Liquid avant que la Fédération ne libère l’équivalent en bitcoins — un point que Liquid confirme également. Selon SideSwap un bug d’inflation dans Elements, le logiciel dérivé de Bitcoin Core sur lequel tourne Liquid, aurait permis de faire apparaître des L-BTC n’ayant jamais été adossés à du bitcoin réel, puis de les échanger contre de vrais BTC. Cette explication reste toutefois non confirmée officiellement : ni Liquid ni Blockstream n’ont détaillé la vulnérabilité exacte à ce stade.
Le montant précis varie selon les sources (de 3 996 à un peu plus de 4 000 BTC), mais toutes s’accordent sur l’essentiel : la réserve de la Fédération est passée d’environ 4 200 BTC à un peu plus de 200 BTC, amputant la liquidité du peg d’environ 95 %.
Le label « white hat » reste contesté. Charles Guillemet, directeur technique de Ledger, a fait observer qu’un chercheur en sécurité divulgue d’ordinaire une faille avant de déplacer plusieurs centaines de millions de dollars de collatéral. Les fonds n’ont pour l’essentiel pas été dispersés à ce stade, ce qui nourrit à la fois l’hypothèse d’un « sauvetage » négocié et celle d’un exploit suivi d’une tentative de marchandage.
Précisons que cet incident ne remet pas en cause la solidité du protocole Bitcoin, mais il montre en revanche ce que coûte une erreur de consensus sur une sidechain fédérée.
Sources :
• Evénements • Statistiques en temps réel • Acheter et vendre des bitcoins • Bitcoin par son inventeur • Choisir son application "portefeuille" • Générer des bitcoins : le minage • Les sites à éviter • Quelle banque choisir ? • Histoire de Bitcoin • Articles populaires • Statistiques du site
• Opensats.org • Asmae - Sœur Emmanuelle • L'UNICEF France • Human Rights Foundation • Internet Archive
• Plan B Network • L'Institut National de Bitcoin • Le Cercle du Coin (association) • La Voie du Bitcoin
Auteur : La rédaction
Date de publication : 06 September 2026