Blockstream a officiellement rejeté une demande de rançon à la suite d’une faille de sécurité sur la Liquid Network ayant entraîné la création d’environ 4,000 jetons L-BTC sans couverture. L’exploit visait une vulnérabilité dans le cache de vérification des preuves de gamme plutôt que de compromettre les clés privées, permettant ainsi à des acteurs de créer des actifs sans contrepartie en bitcoins.
Bien que les responsables aient restitué 3,400 BTC au portefeuille de la fédération peu après l’incident, une part importante des fonds demeure impayée. En réponse, les développeurs ont publié un correctif d’urgence et désactivé les peg-outs afin d’éviter de nouvelles pertes pendant que les efforts de récupération se poursuivent.
Faits marquants
- L’exploit a généré environ 4,000 L-BTC non couverts en ciblant le cache de vérification des preuves de gamme.
- Les acteurs ont restitué 3,400 BTC au portefeuille de la fédération le September 7, 2026.
- Environ 598.5 BTC restent encore non restitués au September 8, 2026.
- La fonctionnalité de peg-out a été désactivée en attendant la récupération définitive des fonds manquants.
- Blockstream a publié le correctif d’urgence v23.3.4 le September 9, 2026.
- L’entreprise a explicitement rejeté une demande de rançon liée à l’attaque le September 11, 2026.
Pourquoi cela importe
Cet incident met en lumière des vulnérabilités spécifiques dans les mécanismes de vérification des sidechains, plutôt que des défaillances traditionnelles de gestion des clés, rendant nécessaires des mises à jour urgentes du protocole pour rétablir la pleine fonctionnalité. La désactivation des peg-outs limite la liquidité des utilisateurs jusqu’à ce que l’écart restant soit résolu, soulignant les risques opérationnels inhérents aux modèles de sidechains fédérés lors des crises de sécurité.