Un acteur white-hat a retourné 3 400 Bitcoin, soit environ 268 millions de dollars, à la Liquid Federation après avoir exploité une vulnérabilité. L’acteur détient encore 598,5 BTC d’une valeur d’environ 47 millions de dollars.
CertiK a signalé le transfert le 7 septembre après que l’acteur a communiqué avec Blockstream au sujet de l’incident. Les Bitcoin retournés représentent la majorité des près de 4 000 BTC impliqués dans l’exploitation.
L’acteur a demandé à Blockstream de corriger la vulnérabilité avant de restituer les Bitcoin. Il a aussi demandé une confirmation de l’adresse qui recevrait les fonds.
Blockstream a ensuite indiqué avoir corrigé les nœuds de bridge concernés. Dans un message on-chain, la société a informé l’acteur : « Les nœuds de bridge sont corrigés, il est sûr de restituer les fonds. »
L’acteur a ensuite transféré 3 400 BTC à la fédération après une série de messages on-chain entre les deux parties.
L’incident a débuté le 6 septembre, lorsque près de 4 000 BTC ont quitté un portefeuille de la Liquid Federation. Liquid a relié le retrait à la SideSwap’s Peg-out Authorization Key, ou PAK.
Liquid a déclaré que le PAK et les autres clés de la fédération n’avaient pas été compromis. Par la suite, Blockstream a identifié un bug dans Elements, le logiciel open-source qui fait fonctionner Liquid, comme origine de la vulnérabilité.
CertiK a indiqué que les 598,5 BTC restants « pourraient potentiellement représenter une récompense de bounty ». Cependant, aucun accord officiel confirmant une telle récompense n’a été divulgué.
