Des hackers dérobent 4 000 bitcoins avec des bons d’échange : « une faille critique mise au jour »

Les plateformes crypto s’appuient sur une poignée de réseaux pour régler rapidement leurs opérations entre elles. L’un des plus connus a vu la quasi-totalité de ses réserves disparaître dimanche lors d’un piratage en Bitcoin, et le réseau est depuis à l’arrêt.

Les auteurs affirment avoir agi avec de bonnes intentions et vouloir tout restituer. Les experts en cybersécurité n’y croient guère.

Un bug a créé des Bitcoin sans contrepartie

Liquid Network a perdu environ 4 000 des 4 200 Bitcoin (BTC) détenus dans le portefeuille de sa fédération, un groupe réunissant plus de 80 plateformes d’échange et entreprises. Le préjudice atteint près de 320 millions de dollars. Le réseau est depuis suspendu.

Une chaîne secondaire comme Liquid immobilise de véritables Bitcoin et émet en échange des L-BTC, une sorte de bon représentatif transférable beaucoup plus rapidement. Des plateformes comme Bitfinex et BTSE l’utilisent pour régler leurs transactions entre elles, la chaîne principale étant souvent lente et coûteuse.

Blockstream, qui a lancé le réseau en 2018, met en cause une faille dans son propre logiciel Elements. Elle aurait permis de créer une partie de ces L-BTC sans les Bitcoin correspondants en garantie.

Les retraits sont passés par SideSwap, une plateforme autorisée à les traiter. La clé n’avait pas été volée. SideSwap n’a pas pu distinguer les faux jetons des vrais et a donc procédé aux paiements.

S’agit-il vraiment de hackers bienveillants ?

Rien n’est moins sûr. Les auteurs se présentent comme des hackers « white hat », des intrus qui révèlent une faille puis restituent les fonds contre une récompense. Dans des messages intégrés à des transactions Bitcoin, ils promettent de rembourser une fois le bug corrigé.

Charles Guillemet, directeur technique du fabricant de portefeuilles matériels Ledger, se montre très sceptique. Selon lui, une personne animée de bonnes intentions signale d’abord une faille, au lieu de déplacer des centaines de millions de dollars avant de demander à discuter.

Aneirin Flynn, dirigeant de la société de cybersécurité FailSafe, y voit un problème plus profond.

« Avec environ 95 % des réserves vidées et le réseau suspendu, l’incident met en évidence une faiblesse critique dans le modèle de validation et de couverture de Liquid », a-t-il déclaré à Bloomberg.

Le L-BTC ne tient plus qu’à un fil

Il ne reste désormais qu’un peu plus de 200 Bitcoin pour couvrir l’ensemble des bons en circulation. Cela représente environ 5 % de la garantie disponible la semaine dernière, et les conversions restent impossibles pour le moment.

Le cours du Bitcoin, lui, a peu réagi et évolue entre 79 000 et 80 000 dollars. Le vrai dommage concerne la confiance dans les ponts entre blockchains, alors que la liste des piratages continue de s’allonger.

Blockstream n’a pas indiqué quand le réseau pourrait rouvrir. Si les fonds ne reviennent pas, les détenteurs de L-BTC se retrouveront avec un bon vidé à 95 % de sa valeur de couverture.