Blockstream refuse de payer une rançon après avoir récupéré 85% des BTC volés lors de l'exploit de Liquid Network

Blockstream affiche une position ferme. Après avoir récupéré environ 3.400 BTC sur les 4.000 BTC dérobés dans le portefeuille de la fédération de Liquid Network le 6 septembre, l'entreprise a annoncé le 11 septembre qu'elle ne verserait aucune rançon pour les 598,5 BTC restants, valorisés à près de 47 millions de dollars. Selon Blockstream, indemniser des attaquants en échange du retour d'actifs volés relève d'une négociation avec des voleurs, pas d'une divulgation responsable. Le groupe estime qu'un paiement établirait un mode d'emploi pour de futurs exploits dans l'industrie. À l'origine de l'incident, une faille logicielle dans la base de code Elements, le framework open source qui sous-tend la sidechain Liquid. La vulnérabilité a permis de créer des LBTC non adossés, le jeton indexé sur le bitcoin du réseau, puis de les échanger contre de vrais BTC prélevés dans le portefeuille de la fédération. Blockstream souligne qu'il ne s'agit pas d'un compromis des clés de signature de la fédération. Le modèle de sécurité multisignature encadrant la conservation sur Liquid est resté intact. Les auteurs ont exploité une erreur de logique dans la validation des transactions de peg. Des correctifs ont été déployés rapidement et, au 7 septembre, environ 3.400 BTC avaient été restitués, soit près de 85% des fonds dérobés. Liquid Network a suspendu temporairement ses opérations pendant la phase de récupération, avant de redémarrer avec un programme de production de blocs mis à jour. Les échanges avec les auteurs se sont déroulés publiquement via des messages on-chain OP_RETURN et des transactions Bitcoin signées en PGP. Les attaquants se sont d'abord présentés comme des "white hats" et ont réclamé à Blockstream une prime de 10% pour restituer l'intégralité des BTC. Faute d'accord immédiat, le ton s'est durci: soit un retour des fonds selon leurs conditions, soit une perte de 15% pour les détenteurs de BTC concernés. Blockstream rejette cette qualification et parle d'un vol. Pour l'entreprise, un white hat signale une vulnérabilité de manière responsable et coopère avec l'équipe touchée, sans d'abord siphonner des fonds puis négocier. Le groupe indique avoir saisi les autorités et mandaté des spécialistes en analyse forensique afin de tracer et récupérer les montants restants par des voies légales. Un règlement aurait représenté un coût d'environ 47 millions de dollars pour Blockstream. L'affaire figure parmi les plus importants exploits ponctuels de la crypto cette année. Lancé en 2018, Liquid Network est une sidechain Bitcoin fédérée visant des règlements plus rapides et des transactions confidentielles, principalement utilisée par des plateformes d'échange et des traders institutionnels. Son modèle repose sur un consortium de "functionaries" qui gèrent collectivement le mécanisme de peg entre Bitcoin et LBTC.