Les pirates de Liquid Network restituent 268 millions de dollars en Bitcoin et en conservent 47 millions

Liquid Network, une sidechain Bitcoin ↗ 1.12% utilisée par les plateformes d'échange de cryptomonnaies pour des règlements rapides, a été vidée d'environ 320 millions de dollars en bitcoin dimanche après que des pirates se présentant comme des hackers éthiques ont exploité un bug logiciel, dans l'une des plus grandes failles de sécurité crypto de cette année.

Environ 4 000 des 4 200 bitcoins détenus dans le portefeuille de la Liquid Federation ont été retirés, représentant environ 95 % des réserves totales du réseau, a déclaré Liquid Network dans une publication sur X. Le réseau a immédiatement interrompu toutes les nouvelles transactions et désactivé les nœuds de pont pendant que les membres de la fédération commençaient leur enquête.reuters

Comment l'exploit a fonctionné

La faille n'a pas impliqué de clés privées volées ou d'identifiants compromis. Au lieu de cela, un bug dans Elements, le logiciel open-source qui alimente Liquid, a permis aux attaquants de créer des Liquid Bitcoin (L-BTC) sans garantie à partir de rien, puis d'échanger ces jetons contre de vrais bitcoins via le processus standard de sortie du réseau. Les fonds ont transité par SideSwap, une plateforme de règlement autorisée sur le réseau, rendant la détection plus difficile car les transactions semblaient légitimes.coincentral+2

Les attaquants ont communiqué avec Blockstream via des messages intégrés dans des transactions bitcoin en utilisant OP_RETURN. "Veuillez d'abord corriger le bug", indiquait un message on-chain. "Assurez-vous que chaque nœud est corrigé. Ensuite, nous transférerons l'argent en toute sécurité après avoir confirmé la correction".theregister+1

Restitution partielle des fonds

Lundi, les données on-chain ont montré que les pirates avaient restitué 3 400 BTC d'une valeur d'environ 268 millions de dollars au portefeuille de la Liquid Federation, tout en conservant environ 598,5 BTC d'une valeur d'environ 47 millions de dollars. Blockstream a corrigé ses nœuds de pont après avoir identifié le bug dans Elements.gizmodo+1

Aneirin Flynn, directeur général de la société de cybersécurité FailSafe, a déclaré à Bloomberg que les preuves préliminaires pointaient vers un bug permettant la création de L-BTC. "Avec environ 95 % des réserves drainées et le réseau suspendu, l'incident expose une faiblesse critique dans le modèle de validation et de garantie de Liquid", a déclaré Flynn.thestar

Ce qui est en jeu

Liquid Network a été lancé en 2018 par Blockstream, cofondé par le cryptographe Adam Back, et fonctionne désormais comme une fédération de plus de 80 plateformes d'échange, entreprises d'infrastructure et gestionnaires d'actifs. Parmi les principaux utilisateurs figurent BTSE et Bitfinex, qui partage une société mère avec Tether, le plus grand émetteur de stablecoins au monde. D'autres actifs sur le réseau, y compris l'USDT, n'ont pas été affectés.businesstimes+2

L'incident s'ajoute à une série de récentes défaillances de sécurité crypto. Le mois dernier, le portefeuille bitcoin hors ligne Coldcard a été piraté, et la semaine dernière, 6 millions de dollars ont été retirés d'une plateforme de prêt d'actifs numériques liée à Crypto.com. Liquid Network n'a pas communiqué de calendrier pour la reprise complète des opérations.coincentral+1