Jeudi, le sidechain Liquid de Blockstream a repris la production de blocs, environ quatre jours après qu'une personne se présentant comme un « pirate blanc » ait retiré environ 4000 $BTC de son portefeuille fédéré, avant de restituer la majeure partie de ces fonds. La reprise du réseau est pertinente pour tous les détenteurs de Liquid Bitcoin (L-$BTC) ou de stablecoins sur ce réseau.
Depuis dimanche, les transactions de ces jetons étaient suspendues, et les quelque 600 $BTC toujours entre les mains du malfaiteur représentent un trou dans la réserve garantissant ces jetons.
Une clé SideSwap a été utilisée, mais jamais volée
Dans un message publié à 10h00 UTC, le compte @Liquid_$BTC a déclaré que la production de blocs avait repris « sans transactions » par mesure de précaution, l'équipe surveillant la stabilisation complète de la situation.
Les nœuds de pont et les nœurs fonctionnels de Liquid ont désormais installé les mises à jour logicielles nécessaires. Les nœuds fonctionnels signent et valident correctement les blocs.
Les opérations de pegging restent désactivées pendant que le réseau reconstitue sa réserve de $BTC-à-L-$BTC.
Tout a commencé dimanche 6 septembre lorsque des pirates, se présentant comme des « hackers blancs », ont retiré environ 4000 $BTC, soit environ 320 millions de dollars, du portefeuille Liquid Federation. Cela représentait environ 95% du solde du portefeuille, qui s'élevait à environ 4200 pièces.
À l'époque, Cryptopolitan avait rapporté que le retrait avait été effectué en utilisant une clé d'autorisation SideSwap qui, apparemment, n'avait pas été volée.
Plus tard, Blockstream a indiqué que le problème provenait d'une vulnérabilité dans Elements, le logiciel open source sous-jacent à Liquid, qui permettait de créer des L-$BTC invalides et de les racheter normalement comme s'ils étaient pleinement garantis.
La veille du redémarrage, l'équipe a publié un correctif d'urgence, Elements v23.3.4, renforçant la protection des clés de cache utilisées pour les vérifications de plage afin d'éliminer la vulnérabilité de vérification des preuves liée au vol.
Adam Back promet de définir un prix, mais pas de délai
Après que Blockstream a signé un message sur la blockchain indiquant que « les nœuds de pont sont corrigés, le retour des fonds est sécurisé », les malfaiteurs ont rendu 3400 $BTC, soit environ 269,2 millions de dollars au taux de change. Il restait ainsi environ 598,5 $BTC en somme non restituée, soit entre 46 et 47 millions de dollars selon le prix actuel.
Le 9 septembre, le pirate anonyme a publiquement critiqué les dépenses de Blockstream, affirmant que l'entreprise n'avait alloué que 1,5 million de dollars pour sécuriser des actifs d'une valeur de 5 milliards de dollars.
« Votre négligence dans l'exercice de vos responsabilités est évidente », a écrit le pirate, avertissant que les pièces restantes seraient perdues à moins qu'une récompense de 10% du montant du bug découvert ne soit payée.
« Vous ÊTES OBLIGÉ de payer 10% de vos propres fonds en tant que récompense pour la découverte de vulnérabilités, sinon vous causerez un préjudice de 15% à tous vos détenteurs de jetons en raison de votre irresponsabilité et de votre avarice », a ajouté le malfaiteur.
Le fondateur et PDG de Blockstream, Adam Back, a rassuré les détenteurs de jetons que le pegging du L-$BTC serait respecté au pair, c'est-à-dire que les utilisateurs pourraient échanger leurs jetons contre la même quantité de Bitcoin au niveau de base.
« Pas besoin de paniquer et de vendre sur le marché de gré à gré », a écrit Back sur X.
Il n'a pas précisé comment le déficit d'environ 600 $BTC serait comblé après la reprise des opérations de pegging, et n'a pas donné de calendrier pour le rétablissement des fonctionnalités de pegging vers et depuis le marché monétaire.
Le réseau est redevenu opérationnel environ 10 heures plus tard. Dans une mise à jour de statut publiée à 19h55 UTC, la reprise des transactions était confirmée, tandis que les points de limitation de débit restaient indisponibles.
end-content
