Liquid Network : un "white hat" retire environ 4 200 BTC, soit 320 M$

Une transaction de "peg-out" a retiré d'un coup près de 4 000 BTC du Liquid Network, avec un message OP_RETURN laissant entendre : "Nous sommes les gentils. Parlons." Au total, environ 4 200 BTC associés à l'opération représenteraient près de 320 millions de dollars, sur la base d'un Bitcoin autour de 80 000 $. S'agit-il d'un sauvetage ou d'un vol déguisé ? Impossible de trancher à ce stade : ni Liquid Network ni sa maison mère Blockstream n'ont communiqué. Ce qui s'est passé Le 6 septembre, une opération de peg-out sur Liquid a renvoyé environ 4 200 BTC vers la blockchain Bitcoin. Une tranche d'environ 4 000 BTC est partie simultanément, ce qui suggère une action coordonnée. La transaction contenait un champ OP_RETURN, espace de données embarqué dans certaines transactions Bitcoin, où les auteurs se présentent comme des "white hats" et invitent à poursuivre l'échange on-chain. La nature exacte de ce mouvement reste incertaine. Rien ne confirme pour l'instant s'il s'agit d'une exploitation d'une faille du modèle de sécurité, d'une opération autorisée menée en interne ou d'un autre scénario. Liquid traite les peg-outs par lots, généralement en 11 à 35 minutes. Le fait qu'un tel volume ait été traité sans interruption apparente soulève des questions directes sur la manière dont l'autorisation a été obtenue. Rappel sur le fonctionnement de Liquid Liquid Network est une sidechain Bitcoin développée par Blockstream. Elle s'appuie sur un modèle de "Strong Federation" : un consortium d'entités sélectionnées gère collectivement les réserves en BTC qui garantissent les jetons LBTC. L'architecture de sécurité repose sur un multisignature 11-sur-15 : au moins 11 des 15 "functionaries" doivent signer tout mouvement des BTC sous-jacents. Le dispositif inclut aussi des Pegout Authorization Keys (PAK), exigées pour toute sortie vers la chaîne principale Bitcoin, afin de limiter le risque lié à la compromission d'un ou plusieurs functionaries. Le transfert d'environ 4 200 BTC implique soit un contournement de ces couches de protection, soit une validation obtenue via des canaux légitimes. Dans les deux cas, l'absence de position officielle entretient l'inquiétude. Le scénario "white hat" Se déclarer "white hat" via un message on-chain n'a rien d'inédit. Dans plusieurs épisodes DeFi, des attaquants ont adopté cette approche pour négocier un retour des fonds, parfois en conservant un pourcentage au titre d'une "prime" pour signalement de la vulnérabilité. Les cas Euler Finance en 2023 et Poly Network en 2021 sont souvent cités comme exemples. Le point déterminant sera la réaction de Blockstream. À ce stade, l'entreprise n'a publié aucune déclaration confirmant un accès non autorisé, réfutant l'hypothèse d'un exploit, ni même reconnaissant l'existence de la transaction. Enjeu : la sécurité des sidechains fédérées Les sidechains fédérées comme Liquid occupent une zone intermédiaire dans l'écosystème Bitcoin : moins "trustless" que la couche de base, mais pas entièrement centralisées. Le compromis consiste à gagner en rapidité et en fonctionnalités en s'en remettant à un ensemble connu de validateurs. Si 11 des 15 functionaries peuvent être compromis, ou si le système PAK peut être contourné, les hypothèses de sécurité de Liquid devront être réévaluées en profondeur. Le modèle fédéré ne tient que si la fédération est elle-même robuste, et l'équivalent de 320 millions de dollars vient de quitter le système. Pour les détenteurs de Bitcoin qui utilisent Liquid pour des transactions plus rapides, des transferts confidentiels ou l'accès à des actifs natifs de Liquid, la question immédiate est concrète : les réserves restantes sont-elles en sécurité ? Sans transparence de Blockstream, la réponse reste en suspens.