Les acteurs se présentant comme des white hats, à l'origine du drainage de près de 4 000 BTC du Liquid Network de Blockstream, ont restitue 3 400 BTC au portefeuille de la fédération de la sidechain, récupérant environ 85 pour cent des fonds retirés. Près de 600 BTC restent entre les mains de ces acteurs, ce qui fait que chaque jeton L-BTC n'est plus que partiellement garanti par du bitcoin dans le portefeuille de réserve de la fédération.
L'exploit initial s'est déroulé le 6 septembre, lorsqu'un bug logiciel dans la base de code Elements a permis à un peg-out anormal de passer par le processus d'autorisation standard de la sidechain. Au cours des 24 heures suivantes, les acteurs et Blockstream ont mené une négociation inhabituelle entièrement par messages intégrés dans des transactions Bitcoin, échangeant des notes signées par PGP et une correspondance on-chain. La restitution partielle du 7 septembre a constitué le développement le plus significatif depuis l'exploit.
Comment l'exploit et la négociation se sont déroulés
La séquence a commencé vers 14:05 UTC le 6 septembre, lorsqu'un client a soumis 4 000 L-BTC à SideSwap, un échange décentralisé construit sur Liquid, pour conversion en bitcoin sur la chaîne principale. SideSwap a déclaré que la demande avait passé son processus d'autorisation normal, ce qui a incité la fédération de Liquid — un organe multisig 11-of-15 — à approuver le peg-out. Vingt-trois minutes plus tard, à 14:28 UTC, 3,996.01834922 BTC ont quitté les réserves multisig de la fédération via une Peg-out Authorization Key, selon CryptoBriefing.
La page de preuve de réserves de la fédération affichait ensuite des avoirs d'environ 197 BTC, contre plus de 4 200 BTC avant l'événement — une baisse de 95 pour cent en une seule transaction. Blockstream et SideSwap ont tous deux attribué le retrait à un défaut logiciel dans Elements, la base de code open source qui alimente l'infrastructure de Liquid, plutôt qu'à la compromission d'identifiants de signature. L'exploit a permis à des L-BTC invalides d'entrer dans un flux de peg-out valide, contournant à la fois le multisig et le système de Peg-out Authorization Key.
Ce qui a suivi était inhabituel, même selon les standards du secteur crypto. Les acteurs ont diffusé des messages OP_RETURN — de petites charges de données enregistrées de façon permanente sur la blockchain Bitcoin — s'adressant directement à Blockstream. Un message indiquait : « we are whitehats. contact us on chain. » Blockstream a répondu par une demande de contact à security@blockstream.com, et les deux parties ont ensuite échangé des messages signés par PGP via des transactions Bitcoin. Les acteurs ont déclaré qu'ils restitueraient « la plupart » des bitcoins une fois le bug corrigé. Blockstream a répondu : « Please fix the bug first. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix. »
La restitution partielle et la prime manquante
Le 7 septembre à 16:09 UTC, les acteurs ont envoyé 3 400 BTC au portefeuille de peg de la fédération en une seule transaction (bloc Bitcoin 965 950), conservant 598,5 BTC — soit environ 15 pour cent du retrait initial — sur une adresse distincte. Blockstream avait auparavant envoyé un message on-chain signé déclarant : « Bridge nodes are patched, safe to return the funds. »
Ni Blockstream ni les acteurs n'ont déclaré publiquement que les 598,5 BTC conservés constituent une prime approuvée. Le directeur technique de Ledger, Charles Guillemet, a décrit la dynamique de manière critique : « So, 3,400 BTC were refunded. The 'white hats' still hold 600 BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking! » CertiK Alert a noté que le montant conservé « could potentially be a bounty reward », bien qu'aucun accord formel n'ait été divulgué.
La restitution laisse chaque L-BTC en circulation garanti par environ 86 cents en bitcoin plutôt qu'un dollar, sur la base d'environ 3 600 BTC restant dans le portefeuille de peg de la fédération contre environ 4 200 L-BTC honnêtes en circulation. Combler cet écart — le déficit de 598,5 BTC plus les frais de SideSwap et les transactions à blanc — nécessite soit une restitution supplémentaire de la part des acteurs, soit une injection de capital des membres de la fédération.
Ce qui reste non résolu
Blockstream n'a pas publié de post-mortem technique expliquant exactement comment le bug a été découvert, en quoi consiste le correctif, ou si la version corrigée empêche une exploitation similaire à l'avenir. Le développeur Bitcoin Adam Simecka, fondateur de MannaBitcoin, a soutenu que Blockstream corrigeait une vulnérabilité plus ancienne d'Elements par phases et avait divulgué où elle se situait avant que chaque nœud n'applique le correctif, soulevant des questions sur le point de savoir si cette divulgation publique a attiré l'exploit.
Les bridge nodes de Liquid restent désactivés sans calendrier annoncé de redémarrage. Les échanges continuent de suspendre les dépôts et retraits de L-BTC, et la fédération n'a pas divulgué comment elle prévoit de rétablir la couverture complète. L'USDT de Tether sur Liquid et les autres actifs émis ne sont pas affectés, le défaut étant spécifique au mécanisme de peg-out du BTC.
L'incident fait écho au cas du Ronin Bridge en 2024, lorsqu'un chercheur MEV white hat a exploité une vulnérabilité et retiré environ 4 000 ETH et $2 million en USDC. Ronin a résolu ce cas en environ 80 minutes avec une prime de $500,000. L'épisode de Liquid est presque 27 fois plus important et a pris des jours plutôt que des heures pour atteindre sa résolution partielle actuelle.
Sources
- Decrypt, "Liquid Hackers Return $270M in Bitcoin After Swiping $320 Million," September 7, 2026. decrypt.co
- Bitquery, "Liquid Network Hack Explained: Blockstream Sidechain Loses 4,000 BTC," September 8, 2026. bitquery.io
- The Bitcoin Manual, "3,400 BTC Returned To The Liquid Network," September 7, 2026. thebitcoinmanual.com
- Decrypt, "Purported White-Hat Hackers Withdraw $320M in Bitcoin From Liquid," September 6, 2026. decrypt.co
- ETHNews, "Liquid Network Exploit Drains $320M, Blockstream Halts Sidechain," September 6, 2026. ethnews.com
