Le réseau Liquid, chaîne latérale de Bitcoin opérée par la Liquid Federation, affirme avoir rétabli une couverture 1:1 pour l’ensemble de ses L-BTC en circulation, près de deux mois après l’exploitation d’une faille dans Elements. Ce retour de la garantie ne signifie pas pour autant la reprise des retraits : ceux-ci restent restreints et le réapprovisionnement des services demeure manuel.
🔑 En bref
- Couverture 1:1 annoncée : 4 268,95 unités en réserve pour 4 268,95 L-BTC en circulation selon l’explorateur Liquid, soit 100,00 %.
- Le déficit a été comblé par des versements de 50 BTC, 300 BTC et 250 BTC, attribués à Blockstream par plusieurs sources.
- Les retraits directs de la Fédération restent soumis à des contrôles opérationnels renforcés.
- Les chiffres de l’incident (environ 4 000 L-BTC, environ 320 M$) ne sont pas réconciliés entre les sources.
Une garantie 1:1 annoncée, des instantanés qui ne coïncident pas
La Liquid Federation a annoncé que les réserves de bitcoin du réseau avaient été entièrement restaurées, rétablissant une couverture 1:1 par BTC pour tous les L-BTC. Liquid est une chaîne latérale lancée par Blockstream en 2018. Les utilisateurs y verrouillent des BTC dans un portefeuille contrôlé par la Fédération, un groupe d’échanges et d’autres entreprises de cryptomonnaies, et reçoivent en contrepartie le même montant en L-BTC. Le réseau fonctionne en parallèle de Bitcoin pour des transferts plus rapides et plus confidentiels.
Deux instantanés publics confirment ce retour. Selon l’explorateur Liquid repris par The Defiant, la réserve et l’offre circulante étaient toutes deux de 4 268,95 unités vers 19 h 08, heure de l’Est, le 2 novembre, soit une couverture de 100,00 % après division des soldes non arrondis. La même source évoque une couverture estimée à 94,14 % plus tôt dans la journée. SideSwap a publié le lendemain matin un autre relevé : 4 270,54 BTC dans la réserve pour 4 270,54 L-BTC en circulation.
| Source | Moment | Réserve / offre (L-BTC) | Couverture |
|---|---|---|---|
| Explorateur Liquid (The Defiant) | 2 nov., vers 19 h 08 (HE) | 4 268,95 / 4 268,95 | 100,00 % |
| Explorateur Liquid (The Defiant) | 2 nov., plus tôt dans la journée | n.d. | 94,14 % (estimée) |
| SideSwap | 3 nov., au matin | 4 270,54 / 4 270,54 | 100,00 % |
Les deux relevés ne portent pas sur le même instant, et les sources ne fournissent aucun rapprochement pour l’écart de 1,59 unité. Les dates diffèrent également : la Fédération a daté son communiqué du 3 novembre, alors que The Defiant situe l’annonce dans la soirée du 2 novembre, sans explication fournie. Les réserves restent vérifiables par les opérateurs de leurs propres nœuds Liquid, ainsi que sur un tableau de bord public.
Un déficit de 600 BTC comblé par des versements attribués à Blockstream
Selon Cryptopolitan, 50 BTC avaient été déposés le 28 octobre, laissant encore 550 BTC à couvrir. Des versements de 300 BTC et 250 BTC ont ensuite été ajoutés le 2 novembre, à quelques heures d’intervalle, afin de rétablir la parité. Forklog présente les mêmes flux comme trois tranches de 50, 300 et 250 BTC, soit le total d’environ 600 BTC restant après le retour de 3 400 BTC par l’attaquant. Les deux présentations sont compatibles si les 598 BTC restants sont arrondis à 600 et si le versement de 50 BTC est compté à part.
« Comme je l’ai dit à de nombreuses reprises, Blockstream. »
Samson Mow, fondateur de JAN3
Le tableau de bord capturé par Adam Back, directeur général de Blockstream, affiche des actifs et des passifs à 100 % et un déficit de 0,00 BTC. Toutefois, le communiqué de la Fédération ne détaille pas l’origine du financement : Yahoo Finance relève qu’elle n’a pas expliqué comment le déficit a été couvert. L’attribution à Blockstream repose donc notamment sur la déclaration de Samson Mow, que les sources présentent tantôt comme membre du conseil de Blockstream et fondateur de JAN3, tantôt comme membre de la Liquid Federation et ancien dirigeant de Blockstream.
Anatomie d’une exploitation : une faille dans le cache de preuves d’Elements
L’exploitation remonte au 6 septembre 2026. Elements, le logiciel sur lequel repose Liquid, présentait une faille ayant permis la création d’environ 4 000 L-BTC sans garantie. Le problème touchait un cache de contrôle des preuves de plage : la clé de ce cache n’incluait ni l’engagement sur l’actif, ni le scriptPubKey (le script qui verrouille les fonds). Une preuve déjà validée pouvait donc être réutilisée dans un contexte où elle n’était plus valable.
Ces L-BTC ont servi à extraire de vrais BTC via le service de retrait de SideSwap, qui s’appuie sur des clés d’autorisation. Aucun opérateur de la Fédération ni aucune clé privée n’a été compromis, grâce notamment au seuil multisignature de 11 sur 15 de la Fédération et aux clés d’autorisation de SideSwap.
L’attaquant, qui se présente comme un pirate à chapeau blanc, a rendu 3 400 BTC le 7 septembre et conservé environ 598 BTC. Il a ensuite réclamé une prime de chasse aux bugs de 10 % sur le solde restant. Blockstream a refusé. Les messages qui lui étaient adressés étaient signés PGP et intégrés à des transactions Bitcoin. Une analyse indépendante indique que l’attaquant a rétroconçu la vulnérabilité à partir d’un commit GitHub au titre public, avant la mise à jour de tout nœud de production.
| Source | Volume évoqué | Valeur évoquée |
|---|---|---|
| Forklog, Yahoo Finance | Environ 4 000 BTC retirés | Environ 320 M$ |
| Évaluation d’incident de Blockstream | Environ 4 000 L-BTC sans garantie, dont près de 598 BTC réels conservés | Non chiffrée |
| Cryptopolitan | 598 BTC restants | Environ 47 M$ à ce moment-là |
Les sources ne réconcilient ni ces formulations ni ces ordres de grandeur. Le lecteur doit donc considérer ces montants comme des estimations non recoupées.
« Payer une rançon qui dépasse largement leur participation économique. »
Adam Back, directeur général de Blockstream
Retraits, échanges et réapprovisionnement : trois circuits à ne pas confondre
La garantie complète constitue une condition préalable, mais elle ne signifie pas la levée des restrictions. Le plan de reprise du 20 octobre prévoit une séquence en plusieurs étapes :
- Rétablissement de la garantie complète 1:1, atteint selon les sources les 2 ou 3 novembre.
- Réactivation contrôlée des retraits directs pour les détenteurs autorisés de clés d’autorisation.
- Échanges BTC-L-BTC semi-automatisés avec les fournisseurs participants, sans limite de volume imposée par le protocole, les retraits directs restant restreints.
- Reprise des fonctions normales de retrait et surveillance transparente des réserves via des explorateurs de blocs, sous réserve des exigences de sécurité restantes.
Les conversions BTC-L-BTC à 1:1 ont été rétablies plusieurs semaines avant le retour complet de la garantie. Le 27 octobre, la Fédération a indiqué que les échanges étaient disponibles via AQUA, Bull Bitcoin et SideSwap, tandis que les opérations normales de retrait restaient soumises à des « contrôles opérationnels renforcés ».
SideSwap a ouvert le 20 octobre son propre service de conversion L-BTC vers BTC, au taux 1:1 moins des frais standard de 0,1 %. Tant que les retraits directs restent restreints, chaque paiement client provient du portefeuille bitcoin de SideSwap, réapprovisionné manuellement. Les commandes peuvent donc attendre lorsque ce solde est faible ; elles sont payées dans leur ordre d’arrivée après le prochain réapprovisionnement, sans délai garanti. SideSwap affirmait ne pas savoir quand les retraits de la Fédération reprendraient. La liquidité disponible pour les clients et la garantie des réserves sont donc deux éléments distincts.
Gouvernance, défenses techniques et leçons de sécurité
Le plan de reprise a été mené pendant plusieurs semaines par la Liquid Federation, Blockstream et des experts indépendants en sécurité. Un logiciel de Fédération mis à jour gère désormais les réserves de bitcoin et tient compte de l’état comptable consécutif à l’incident. Un nombre suffisant de fonctionnaires l’utilisent, étape que la Fédération considère comme une préparation opérationnelle. Des protections indépendantes restent actives pour empêcher les retraits prématurés ou non autorisés.
Adam Back a présenté trois lignes de défense renforcées :
- les clés d’autorisation de retrait ont été renouvelées et déplacées dans des portefeuilles matériels hors ligne ;
- les caches de validation des preuves ont été désactivés et le défaut corrigé dans les nœuds ;
- les règles de consensus se ferment désormais par défaut lorsqu’une condition n’est pas remplie.
Back a ajouté que le réseau avait passé plusieurs audits menés par des tiers. La Fédération annonce par ailleurs une modernisation de sa gouvernance et une clarification des responsabilités, avec des précisions promises dans les semaines suivantes.
« Ne faites pas confiance, vérifiez. »
Adam Back, directeur général de Blockstream
Lors d’une interview le 20 octobre, Back avait décrit une vague d’analyses de sécurité assistées par IA, tout en soulignant que l’IA peut aussi bien aider à développer du code que servir à détecter des défauts. Selon Google Threat Intelligence Group, les attaquants ont exploité 141 failles entre janvier et août 2026, contre 127 sur l’ensemble de 2025, ce qui réduit selon cette source l’intervalle entre divulgation et exploitation. Les sources consultées ne signalent aucune variation de cours de BTC, de L-BTC ou de volume liée à l’annonce.
Perspectives : une garantie rétablie, une confiance à reconstruire
Le retour à 100,00 % de couverture est un jalon mesurable, mais il ne répond ni à la question de l’origine du financement du déficit, ni à la réconciliation des chiffres de l’incident. Trois scénarios se dessinent. Le premier est une reprise rapide des retraits directs, si les audits et les contrôles renforcés sont validés. Le second est une reprise par étapes prolongée, où les échanges via les fournisseurs absorbent l’essentiel de la demande de sortie tandis que le réapprovisionnement manuel reste source d’attente. Le troisième est un nouvel incident lié à une faille de consensus ou de cache, rappelant que la sécurité d’un pont dépend de la robustesse de chaque couche logicielle.
Les détenteurs de L-BTC gagneront à suivre les publications officielles de la Fédération et les tableaux de bord publics avant de considérer la reprise comme complète.
Sources
- CryptoSlate
- Liquid Network, mise à jour du plan de reprise
- Cryptopolitan
- The Defiant
- Forklog
- Yahoo Finance
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
