Le réseau Liquid reprend les transactions tandis que le hacker conserve 600 BTC

La sidechain Liquid de Blockstream a repris la production de blocs jeudi, environ quatre jours après qu'une personne se présentant comme un white hat hacker a vidé près de 4 000 BTC du portefeuille de la fédération, avant d’en restituer la majeure partie. Ce redémarrage concerne tous ceux qui détiennent du Liquid Bitcoin (L-BTC) ou des stablecoins sur le réseau.

Les fonds étaient suspendus depuis dimanche et environ 600 BTC encore entre les mains de l’attaquant représentent un manque dans la réserve soutenant ces tokens.

La clé de peg-out de SideSwap a été utilisée mais jamais volée

Les nœuds de bridge et les nœuds fonctionnaires de Liquid disposent désormais des correctifs logiciels nécessaires. Les nœuds fonctionnaires signent et valident les blocs comme ils le devraient.

Les opérations de peg sont désactivées pendant que le réseau reconstitue sa réserve BTC-vers-L-BTC.

Tout a commencé dimanche 6 septembre, lorsque des hackers déclarant un statut de white hat ont retiré environ 4 000 BTC, soit environ 320 millions de dollars, du portefeuille de la Liquid Federation. Cela représentait environ 95 % du solde total du portefeuille (~4 200 BTC).

Blockstream a ensuite indiqué que le problème provenait d’une faille dans Elements, le logiciel open-source à la base de Liquid, qui permettait la création de L-BTC non valides et leur rachat via la voie normale comme s’ils étaient entièrement adossés.

L’équipe a publié un correctif d’urgence, Elements v23.3.4, un jour avant le redémarrage, renforçant les clés de cache utilisées pour les range proofs afin de corriger la vulnérabilité de vérification des preuves liée au vol.

Adam Back promet le peg mais sans donner d'échéance

Après que Blockstream a signé une note on-chain indiquant “Bridge nodes are patched, safe to return the funds”, les acteurs ont restitué 3 400 BTC, soit environ 269,2 millions de dollars au cours du 7 septembre. Il restait donc environ 598,5 BTC impayés, soit entre 46 et 47 millions de dollars selon le prix actuel.

Le 9 septembre, le hacker anonyme a vivement critiqué publiquement les dépenses de Blockstream, accusant la société d’avoir alloué seulement 1,5 million de dollars pour protéger 5 milliards de dollars d’actifs.

« Votre manquement à vos devoirs est évident », a écrit le hacker, avertissant que le reste des pièces resterait manquant à moins qu’une prime de bug de 10 % ne soit versée.

« VOUS DEVEZ payer 10 % de votre propre argent en tant que bug bounty, sinon vous ferez subir à tous vos détenteurs une perte de 15 % à cause de votre irresponsabilité et de votre avarice », a ajouté l’auteur de la menace.

Le fondateur et PDG de Blockstream, Adam Back, a rassuré les détenteurs que le peg L-BTC serait honoré à un pour un, ce qui signifie que les utilisateurs pourront échanger leurs tokens contre le même montant de Bitcoin sur la couche de base.

Il n’a pas précisé comment le déficit d’environ 600 BTC serait comblé à la réouverture des peg-out, ni donné de calendrier pour la reprise des services de peg-in et peg-out.