Quand un bug d’implémentation coûte 320 millions de dollars : ce que l’on sait du piratage de Liquid Network
Liquid Network a perdu près de 320 millions de dollars en Bitcoin en l'espace de quelques heures, sans qu'aucune clé n'ait été volée. Explications..
Le 6 septembre 2026, la plateforme Liquid Network a subi un piratage spectaculaire ayant entraîné la perte de près de 4 000 bitcoins, représentant environ 320 millions de dollars (275 millions d’euros). Ce montant correspond à la quasi-totalité des réserves en bitcoins détenues par Liquid. Contrairement à la plupart des attaques informatiques, aucun vol de clé privée n’a été constaté. Les pirates ont exploité une faille dans le système de validation des transactions, permettant de détourner ces fonds sans compromettre directement les clés de sécurité. Cette attaque se distingue par son ampleur et par la méthode utilisée, qui ne correspond pas aux pratiques habituelles des cybercriminels.
Les auteurs de l’attaque ont laissé un message dans leur transaction principale, se présentant comme des white hats. Un white hat est un hacker éthique qui exploite une faille pour la signaler à la victime et l’aider à se protéger, sans intention de nuire ni de s’enrichir. Cependant, leur méthode a suscité des doutes. En effet, ils ont vidé la quasi-totalité des réserves de Liquid avant de proposer un contact, ce qui est inhabituel pour un white hat. Charles Guillemet, directeur technique de Ledger, a remis en question cette qualification, soulignant qu’un chercheur légitime signale généralement une faille avant de déplacer des fonds. Tant que les bitcoins ne sont pas restitués, l’étiquette de white hat reste une revendication, pas un fait établi.
Liquid est une sidechain adossée à Bitcoin. Une sidechain est une chaîne de blocs parallèle à une autre (ici Bitcoin), permettant des transactions plus rapides et plus discrètes, ainsi que l’émission d’actifs comme des stablecoins (cryptomonnaies stables indexées sur une monnaie traditionnelle). Pour utiliser Liquid, les utilisateurs déposent leurs bitcoins via un mécanisme appelé peg-in, en échange de L-BTC, l’équivalent utilisable sur la sidechain. Pour récupérer leurs bitcoins, ils effectuent un peg-out, qui détruit les L-BTC et libère les bitcoins originaux. Ce processus est supervisé par une fédération de 15 entreprises détenant collectivement les clés du coffre, avec une règle de validation exigeant au moins 11 clés sur 15 pour autoriser un retrait.
La faille exploitée par les pirates se situe dans la logique de validation des transactions. Les fonds détournés (3 996 BTC, ne laissant que 200 BTC dans les réserves) sont passés par la clé d’autorisation de peg-out de SideSwap, un service d’échange intégré à Liquid. Ce mécanisme, conçu pour fonctionner comme une liste blanche, aurait dû empêcher un retrait vers une adresse non autorisée. Aucune clé n’a été compromise, ce qui indique un bug d’implémentation : une erreur dans la programmation du système, et non une faille de sécurité classique. La faille n’a pas encore été élucidée à ce jour.
Face au message des pirates, Liquid a répondu en proposant un contact via la même chaîne de blocs. Les attaquants ont posé une condition pour restituer les fonds : la faille doit être corrigée et le correctif déployé sur tous les nœuds de Liquid. Ils ont précisé vouloir rendre « la plupart » des bitcoins, et non la totalité, sans garantir leur retour tant que les fonds ne sont pas transférés hors de leur adresse. Liquid a confirmé la fermeture des passerelles de conversion de bitcoins, ainsi que des dépôts et retraits en L-BTC. Les autres actifs sur la plateforme ne sont pas affectés, mais les détenteurs de L-BTC se retrouvent avec des jetons censés être convertibles 1 pour 1 en bitcoins, alors que la réserve a été amputée. Aucun calendrier de reprise ou plan de compensation n’a été annoncé pour l’instant.
