Une faille dans la sidechain Bitcoin de Liquid a permis à un attaquant de créer 3 998,5 L-BTC sans disposer des Bitcoin nécessaires pour les garantir, selon la société de sécurité blockchain SlowMist. Détectée le 6 septembre, l’exploit a utilisé une collision de cache pour contourner les vérifications de preuve d’amplitude d’Elements et échanger ces jetons non garantis contre des Bitcoin.
La faille concernait les versions d’Elements publiées avant la 23.3.4. Un correctif antérieur publié le 3 août n’a pas permis de résoudre la vulnérabilité à la limite du champ, laissant le système exposé.
SlowMist a indiqué que l’attaquant avait utilisé des transactions de configuration pour manipuler les caches des nœuds avant de frapper les L-BTC non garantis. L’attaquant a ensuite demandé une prime de 10 % via des messages on-chain.
La version 23.3.4 a corrigé le problème en ajoutant des préfixes de longueur et une option d’urgence pour désactiver la mise en cache. L’incident n’impliquait pas de clés privées compromises ni de smart contracts.
Liquid a suspendu les dépôts et retraits de Bitcoin via son peg lors de l’application des mises à jour, limitant ainsi les mouvements de fonds ultérieurs.
La production de blocs a repris le 10 septembre après un arrêt de quatre jours. Les fonctionnaires de Liquid ont mis à jour leurs nœuds et recommencé à signer les blocs, sous surveillance rapprochée.
La reprise a également inclus le retour de 3 400 BTC vers le portefeuille de la fédération, laissant 598,5 BTC aux mains de l’attaquant.
