Piratage de Liquid Network : un bug coûte 320 millions de dollars

Imaginez un scénario où un simple bug dans un code informatique permet de voler 320 millions de dollars en quelques heures. C’est ce qui vient de se produire sur Liquid Network, une blockchain dérivée de Bitcoin. Le piratage, révélé le 6 septembre 2026, a laissé la communauté crypto perplexe : aucune clé de sécurité n’a été compromise, et les attaquants ont même laissé un message affirmant être des « white hats ». Une situation inédite qui soulève des questions sur la sécurité des blockchains et la nature même des attaques en cybersécurité.

Le cœur du problème réside dans un mécanisme de validation défectueux. Liquid Network, une sidechain conçue pour des transactions rapides et discrètes, utilise un système de « peg-out » pour permettre la conversion de L-BTC (tokens émis sur la sidechain) en Bitcoin réel. Ce processus, normalement sécurisé par une liste blanche d’adresses autorisées, a été contourné grâce à une faille logicielle. Les hackers ont pu extraire 4 000 BTC (environ 320 millions de dollars) en exploitant cette vulnérabilité, laissant seulement 200 BTC dans les réserves de la fédération qui gère la plateforme. Ce qui est troublant, c’est que la faille ne provient pas d’une compromission de clés, mais d’un bug d’implémentation, un aspect technique souvent sous-estimé dans les discussions sur la sécurité blockchain.

La réaction de Liquid Network a été inattendue. Contrairement à une attaque classique, les pirates ont laissé un message dans la transaction : « Nous sommes des white hats. Contactez-nous on-chain. » Cette déclaration a suscité des débats. Charles Guillemet, directeur technique de Ledger, a souligné que les white hats, par définition, signalent une faille avant de déplacer des fonds. Ici, les attaquants ont vidé les réserves avant même de proposer une solution. La plateforme a toutefois répondu en ouvrant une communication via la blockchain, proposant de discuter du correctif. Cependant, les conditions imposées par les pirates restent ambiguës : la restitution des fonds dépendra de la correction du bug, mais pas de la totalité des bitcoins volés. Une situation qui met en lumière l’impossibilité de régler un tel incident sans un consensus clair entre les parties.

Ce piratage rappelle celui de Ronin, où des attaquants avaient compromis des clés de validation pour voler 625 millions de dollars. La différence ici est majeure : aucun élément de sécurité n’a été piraté, ce qui souligne la vulnérabilité des systèmes dépendant de logiques de validation plutôt que de clés cryptographiques. La gouvernance partagée de Liquid Network, censée répartir les risques entre 15 entreprises, n’a pas empêché le vol. Les détenteurs de L-BTC, qui devraient pouvoir convertir leurs jetons en Bitcoin à 1:1, voient désormais leur réserve réduite. Aucun plan de compensation n’a été annoncé, laissant des questions sans réponse sur la responsabilité de la fédération. Ce cas dresse un miroir à l’industrie blockchain : la sécurité dépend autant des codes que des processus humains, et un bug peut coûter des milliards, même sans compromission directe. Reste à voir si ce piratage marquera un tournant dans la manière dont les blockchains abordent la résilience face aux erreurs humaines ou techniques.

Sources

• Source 1

À très vite sur l’EternoStation.