Que s'est-il exactement passé ?
Le 6 septembre, une vulnérabilité a été exploitée dans le Liquid Network, exploité par la société Blockstream. Liquid est ce que l'on appelle une sidechain au-dessus de Bitcoin, où le L-BTC (Liquid Bitcoin) est un token censé être couvert par de vrais bitcoins dans un rapport 1:1.
Selon la description de CryptoSlate, la faille a permis à l'attaquant de créer environ 4 000 L-BTC non couverts et, via le service SideSwap, de faire sortir environ 3 996 BTC réels. Autrement dit, l'attaquant s'est fabriqué des tokens sans couverture et les a échangés contre de vrais bitcoins.
Après que Blockstream a déployé un correctif sur les nœuds (nodes) concernés, une partie des fonds a été restituée.
Combien d'argent a été restitué et combien manque-t-il ?
Selon The Defiant, Liquid a indiqué le 8 septembre que l'attaquant avait restitué 3 400 BTC et qu'il restait à ce moment-là environ 598,5 BTC non remboursés.
| Élément | Quantité de BTC | Source |
|---|---|---|
| Estimation des fonds initialement sortis | ~3 996 BTC | CryptoSlate |
| Restitué par l'attaquant | 3 400 BTC | The Defiant, Incrypted |
| Reste non remboursé | ~598,5 BTC | The Defiant, Decrypt |
La valeur du montant restant varie légèrement selon les sources en fonction du cours au moment de la rédaction : Decrypt évoque environ 47 millions de dollars, CryptoSlate parle d'environ 50 millions de dollars. Il s'agit d'une estimation qui évolue avec le prix du Bitcoin.
Que réclame l'attaquant ?
Selon CryptoSlate, après avoir restitué 3 400 BTC, l'attaquant a demandé une « récompense » (bounty) de 10 %, qui devrait être payée par Blockstream sur ses propres fonds. Il aurait également averti que, dans le cas contraire, les détenteurs pourraient subir une perte d'environ 15 %.
Il s'agit donc d'un différend sur la question de savoir si une récompense doit être versée pour la restitution partielle de fonds volés, et qui devrait la prendre en charge.
Comment Blockstream a-t-il réagi ?
Dans sa déclaration sur le réseau X du 11 septembre, Blockstream a indiqué qu'il ne paierait pas la rançon. Selon Incrypted et Decrypt, l'entreprise a qualifié cet agissement de vol, et non de signalement responsable d'une vulnérabilité.
Le sens de la déclaration traduit (Incrypted) : obtenir des actifs sans autorisation et refuser de les restituer est un délit, et non une responsible disclosure, et il ne s'agit pas d'une activité de type white hat. Le terme « white hat » désigne un chercheur en sécurité qui signale une faille et restitue les fonds, généralement en échange d'une récompense convenue à l'avance.
Decrypt ajoute que si les fonds ne sont pas restitués, Blockstream a l'intention de saisir les forces de l'ordre.
Pourquoi est-ce important ?
Ce différend illustre un débat plus large dans la crypto : comment le secteur doit-il se positionner face aux attaquants qui restituent une partie des fonds et réclament une « récompense » pour le reste. Blockstream choisit une ligne dure et présente toute l'affaire comme un vol, et non comme une négociation autour d'un bug bounty.
Qu'est-ce qui reste incertain ?
Les sources disponibles ne permettent pas encore de savoir si et comment des plaintes pénales ont été déposées, si l'attaquant est identifié, ni si d'autres fonds seront restitués. Il n'est pas non plus confirmé quelle perte exacte pourrait éventuellement frapper les détenteurs de L-BTC. Ce sont des points qu'il convient de suivre dans ce type d'affaires.