Le réseau Liquid reprend les transactions alors que le hacker conserve 600 BTC

La sidechain de Blockstream, Liquid, a repris la production de blocs jeudi, environ quatre jours après qu'une personne se disant hacker éthique a vidé près de 4 000 BTC de son portefeuille de fédération, puis en a restitué la majeure partie. Le redémarrage concerne toute personne détenant des Bitcoin Liquid (L-BTC) ou des stablecoins sur le réseau.

Les fonds sont suspendus depuis dimanche, et les environ 600 BTC encore entre les mains de l'attaquant représentent un trou dans la réserve adossant ces jetons.

La clé de peg-out de SideSwap a été utilisée mais n'a jamais été volée

Dans un point de situation publié à 10 h 00 UTC, le compte @Liquid_BTC a indiqué que la production de blocs avait repris « sans transactions » par mesure de précaution, tandis que l'équipe surveille la stabilisation complète.

Les nœuds de pont et les nœuds fonctionnaires de Liquid disposent désormais des correctifs logiciels requis. Les nœuds fonctionnaires signent et valident les blocs comme ils le devraient.

Les opérations de peg sont désactivées pendant que le réseau reconstruit sa réserve BTC vers L-BTC.

Tout a commencé dimanche 6 septembre, lorsque des pirates se réclamant du statut de white-hat ont retiré environ 4 000 BTC, d'une valeur d'environ 320 millions de dollars, du portefeuille de la Fédération Liquid. Cela représentait environ 95 % du solde d'environ 4 200 pièces du portefeuille.

À ce moment-là, Cryptopolitan a rapporté que le retrait avait été effectué à l'aide de la clé d'autorisation de peg-out de SideSwap, qui n'a jamais été volée.

Blockstream a ensuite déclaré que le problème était dû à une faille dans Elements, le logiciel open source sous-jacent à Liquid, qui permettait la création de L-BTC invalides et leur remboursement via le chemin normal comme s'ils étaient entièrement adossés.

L'équipe a déployé un correctif d'urgence, Elements v23.3.4, un jour avant le redémarrage, durcissant les clés de cache utilisées pour les preuves de plage afin de combler la vulnérabilité de vérification des preuves liée au vol.

Adam Back promet le peg mais pas de calendrier

Après que Blockstream a signé une note sur la chaîne indiquant : « Les nœuds de pont sont patchés, il est sûr de retourner les fonds », les acteurs ont restitué 3 400 BTC, soit environ 269,2 millions de dollars au taux de conversion du 7 septembre . Cela laisse environ 598,5 BTC en attente, représentant entre 46 et 47 millions de dollars selon le prix actuel.

Le 9 septembre, le pirate anonyme a vivement critiqué les dépenses de Blockstream, affirmant que l'entreprise n'avait alloué que 1,5 million de dollars pour protéger 5 milliards de dollars d'actifs.

« Votre négligence est évidente », a écrit le pirate, avertissant que le reste des pièces resterait introuvable à moins qu'une prime de bug de 10 % ne soit versée.

« Vous DEVEZ payer 10 % de votre propre argent en tant que prime de bug, sinon vous causerez une perte de 15 % pour tous vos détenteurs en raison de votre irresponsabilité et de votre avarice », a ajouté l'acteur de la menace.

Adam Back, fondateur et PDG de Blockstream, a rassuré les détenteurs sur le fait que le peg du L-BTC sera honoré au pair, ce qui signifie que les utilisateurs peuvent échanger leurs jetons contre la même quantité de Bitcoin sur la couche de base.

« Ne vendez pas en panique en OTC », a écrit Back sur X.

Il n'a pas précisé comment le déficit d'environ 600 BTC serait comblé lors de la réouverture des peg-outs, ni fourni de calendrier pour la restauration des services de peg-in et peg-out.

Le réseau a bougé à nouveau environ 10 heures plus tard. Un point de situation publié à 19 h 55 UTC a confirmé que les transactions avaient repris, tandis que les peg-outs sont indisponibles.