Un peg qui a fonctionné, sur des tokens qui n'auraient pas dû exister
Dimanche, le wallet de la fédération Liquid est passé de 4 200 bitcoins à 207,275. En une seule opération, 95% de la réserve qui garantit le L-BTC a quitté le sidechain de Blockstream. Soit près de 4 000 bitcoins, valorisés à 320 millions de dollars au moment des faits.
Blockstream a confirmé qu'aucune clé n'a été compromise, ni celle utilisée pour le retrait ni aucune autre. La faille ne porte pas sur la garde des fonds. Elle porte sur la comptabilité de l'actif adossé. Le logiciel Elements, qui fait tourner Liquid, avait émis du L-BTC sans contrepartie réelle en réserve. Ces tokens fantômes existaient dans le système et le système les a traités comme des tokens légitimes. Quand quelqu'un les a présentés au guichet, le peg a honoré la demande normalement, exactement comme prévu.
C'est précisément là que réside l'enseignement : le mécanisme de sortie a fonctionné sans défaillance technique. C'est la comptabilité en amont qui était fausse.
White hats, sidechain à l'arrêt et questions ouvertes
Les auteurs de l'opération ont inscrit un message dans une transaction : « we are whitehats. contact us on chain ». Ils se présentent donc comme des chercheurs en sécurité ayant agi de bonne foi pour révéler la vulnérabilité. Cette revendication n'est pas vérifiée à ce stade.
En attendant, Blockstream a désactivé les bridge nodes et les plateformes ont suspendu les dépôts et les retraits de L-BTC. Le sidechain est à l'arrêt.
Pour quiconque s'intéresse à la structure et aux risques de Bitcoin, cet incident illustre une limite structurelle des systèmes adossés : tout actif synthétique repose sur une promesse comptable. Dès lors qu'un bug permet d'émettre plus de créances que de réserves, la solidité du peg dépend uniquement de la capacité du système à détecter l'écart avant qu'il soit exploité. Ici, il ne l'a pas détecté à temps. Le L-BTC fantôme a circulé, a été échangé et la réserve a suivi.
