Exploit de 320 M$ sur Liquid Network : ce que cela signifie pour la comptabilité des actifs numériques
En un seul week-end, des attaquants ont vidé presque tout le bitcoin détenu dans les réserves de Liquid Network, environ 4 000 BTC d'une valeur d'environ 320 millions de dollars, en exploitant une faille qui n'avait rien à voir avec Bitcoin lui-même. La vulnérabilité résidait dans une couche logicielle supplémentaire, et c'est exactement le type de risque d'infrastructure que les cabinets comptables, les auditeurs et les directeurs financiers doivent désormais intégrer dans leur façon d'évaluer, de vérifier et de déclarer les actifs numériques adossés ou enveloppés sur des réseaux secondaires. Pour quiconque s'appuie sur un logiciel de comptabilité crypto pour suivre des positions d'actifs adossés, cet incident expose une lacune de rapprochement qui mérite une attention immédiate.
Ce qu'est Liquid Network et comment L-BTC est censé fonctionner
Liquid Network est une sidechain de Bitcoin développée par Blockstream. Elle fonctionne comme une couche de règlement secondaire conçue pour des transactions bitcoin plus rapides, moins coûteuses et plus confidentielles. L'actif natif de Liquid est le L-BTC, un jeton structurellement similaire à un certificat de dépôt : en fonctionnement normal, chaque L-BTC en circulation est adossé 1:1 à de vrais BTC détenus par la Liquid Federation.
Le mécanisme de peg-in et peg-out
Les utilisateurs transfèrent des fonds sur Liquid en verrouillant des BTC sur la chaîne de base Bitcoin et en recevant un montant équivalent de L-BTC sur la sidechain, un processus appelé peg-in. L'inverse, le peg-out, brûle des L-BTC et libère les BTC sous-jacents vers l'utilisateur. C'est ce mécanisme qui donne au L-BTC sa valeur et son traitement comptable en tant qu'actif adossé plutôt qu'un jeton spéculatif distinct. Tout le modèle dépend de l'intégrité de cette couche de vérification. Lorsque la vérification se brise, la promesse 1:1 se brise avec elle.
Comment l'exploit a réellement fonctionné
Liquid utilise une fonctionnalité de confidentialité appelée Confidential Transactions, qui dissimule les montants des transactions sur la sidechain. Comme les montants sont cachés, le réseau s'appuie sur des preuves cryptographiques, en particulier des preuves de gamme, pour confirmer qu'aucune valeur n'est créée à partir de rien. La vérification de ces preuves est gourmande en calcul, c'est pourquoi le logiciel de Liquid met en cache les résultats des vérifications réussies afin d'éviter un traitement redondant.
La faille de mise en cache
La vulnérabilité résidait dans la façon dont le système de cache identifiait les données précédemment approuvées. Un défaut dans le mécanisme de recherche signifiait que de nouvelles données non approuvées pouvaient être amenées à pointer vers un résultat en cache existant déjà validé. En pratique, un attaquant pouvait d'abord faire vérifier et stocker en cache une transaction légitime, puis soumettre une transaction différente et invalide qui référençait la même approbation en cache. Les nœuds Liquid traitaient la soumission invalide comme déjà vérifiée et l'acceptaient sans exécuter une nouvelle vérification.
Des preuves invalides au bitcoin réel
En exploitant cette faille, les attaquants ont créé des jetons L-BTC sans déposer de BTC pour les adosser. Ils ont ensuite utilisé le processus de peg-out de Liquid pour échanger ces L-BTC non adossés contre de vrais BTC détenus dans la réserve du réseau. L'analogie utilisée par Chainalysis le résume bien : c'est similaire à une faille dans le système en ligne d'une banque qui permet à un utilisateur de gonfler artificiellement le solde d'un compte puis de retirer le montant gonflé en espèces physiques. Dans le cas de Liquid, les attaquants ont retiré environ 4 000 des quelque 4 200 BTC détenus en réserve, laissant le réseau presque vide.
Chronologie : exploit, communication et récupération partielle
Les attaquants n'ont pas disparu après avoir vidé la réserve. Ils ont utilisé le champ OP_RETURN de Bitcoin, un composant de données des transactions Bitcoin standard, pour envoyer des messages directement à Blockstream on-chain. Certains de ces messages étaient en clair ; d'autres étaient chiffrés. Dans un premier message en clair, ils se sont identifiés comme des acteurs white-hat, ont déclaré que la chaîne était en danger et ont conseillé à Blockstream de s'assurer que chaque nœud était corrigé avant tout retour de fonds.
Correctif, confirmation et retour partiel
Blockstream a agi rapidement. Une fois que le développeur a confirmé on-chain que ses nœuds de pont avaient été mis à jour et que les fonds pouvaient être restitués en toute sécurité, les acteurs ont renvoyé 3 400 BTC en une seule transaction, soit environ 85 % de ce qui avait été retiré. Cependant, environ 600 BTC, d'une valeur d'environ 47 millions de dollars au mardi suivant, ont été dirigés vers une adresse contrôlée par les attaquants plutôt que vers Liquid. Au moment de la publication, Liquid Network a déclaré que les discussions avec les prétendus white-hats se poursuivaient pour obtenir le retour de ces fonds restants. Ni Blockstream ni les acteurs n'avaient publiquement confirmé si le montant retenu représente une prime convenue ou quelque chose d'autre.
Implications comptables pour les cabinets et les directeurs financiers
Pour les professionnels de la comptabilité et les équipes financières, cet incident soulève plusieurs questions pratiques qui dépassent les gros titres immédiats. Les jetons enveloppés et adossés sont de plus en plus courants dans les portefeuilles clients, les avoirs de trésorerie et les positions DeFi. L'exploit de Liquid illustre qu'un adossement 1:1 est une affirmation technique qui dépend de l'intégrité de l'infrastructure logicielle, et non d'une simple assurance contractuelle ou d'un ratio indiqué dans un livre blanc.
Comptabilisation et dépréciation des actifs en cas de pénurie de réserve
Durant la période entre l'exploit et la récupération partielle, la réserve de Liquid était presque vide. Toute entité détenant des L-BTC à son bilan à ce moment-là faisait face à une véritable question de dépréciation. Selon IFRS 9, les actifs financiers doivent être évalués à chaque date de reporting ; selon ASC 820, la juste valeur reflète le prix qu'un participant au marché paierait compte tenu de toutes les informations disponibles, y compris les pénuries de réserve connues. Un actif adossé échangé contre une réserve épuisée n'est pas le même actif qu'un actif adossé à parité complète. Les auditeurs qui examinent des positions d'actifs numériques incluant des jetons de sidechain ou des actifs enveloppés par un pont devraient demander aux clients s'ils disposent de processus pour détecter et réagir à de tels événements en temps réel.
Lacunes de rapprochement dans les logiciels de comptabilité crypto
Le risque comptable central révélé ici est celui du rapprochement. De nombreuses configurations de logiciels de comptabilité d'actifs numériques enregistrent une position en L-BTC ou en jeton enveloppé similaire à sa valeur d'adossement déclarée et passent à autre chose. Cet incident montre que la réserve on-chain qui soutient cet adossement peut être compromise sans qu'aucun flux de prix ou taux de change ne bouge immédiatement. Le flux de travail du logiciel de comptabilité crypto d'un cabinet a besoin d'un accès direct aux données de réserve on-chain, pas seulement d'un oracle de prix. Lorsque ce flux de données n'existe pas ou n'est pas surveillé, la lacune doit être documentée comme une déficience de contrôle.
Divulgations sur la garde et le risque de contrepartie
Les entités qui conservent des actifs via des sidechains, des ponts ou des fournisseurs de règlement sont exposées à un risque de contrepartie et d'infrastructure distinct de la détention de BTC natifs. Cette distinction est importante pour les informations à fournir dans les états financiers. Les auditeurs et les directeurs financiers devraient examiner si les informations existantes décrivent avec précision les couches logicielles et de fédération supplémentaires par lesquelles les actifs sont détenus, et si l'évaluation des contrôles couvre ces couches. Le modèle de la Liquid Federation, où un groupe défini d'entités contrôle conjointement le mécanisme d'adossement, introduit une forme spécifique de concentration de contrepartie qu'il vaut la peine de nommer explicitement dans les informations sur les risques.
Considérations AML et conformité
L'exploit a également des dimensions AML que les équipes de conformité ne peuvent ignorer. Les 600 BTC qui restaient aux attaquants mardi constituent une position non résolue sur une adresse désormais publiquement associée à un exploit. Toute plateforme d'échange, dépositaire ou bureau OTC qui reçoit des fonds traçables vers ces adresses fait face à une exposition réglementaire potentielle. Les équipes de conformité devraient s'assurer que leurs systèmes de surveillance des transactions sont mis à jour pour signaler les adresses liées à cet incident.
La communication on-chain comme schéma émergent
L'utilisation de messages OP_RETURN pour négocier on-chain mérite d'être notée comme un schéma. Les analyses de blockchain peuvent lire ces messages, et les régulateurs sont de plus en plus attentifs à la façon dont les produits d'exploits sont traités. Un retour partiel présenté comme une action white-hat mais retenant des millions de dollars en prime non divulguée se situe dans un espace juridique ambigu dans la plupart des juridictions. Les cabinets qui reçoivent, traitent ou conservent une partie de ces fonds devraient consulter un avocat avant de poursuivre. Pour un contexte sur la façon dont les agences d'application abordent les crimes financiers liés aux cryptos, notre couverture de comment les actions d'application façonnent les exigences des logiciels de comptabilité crypto fournit un contexte utile.
Par ailleurs, les cabinets opérant sous des juridictions avec des mandats actifs de filtrage des sanctions devraient examiner leur couverture de surveillance pour les transactions de sidechain et de pont. Notre analyse précédente des obligations de filtrage des sanctions pour les utilisateurs de logiciels de comptabilité d'actifs numériques décrit les attentes de base que les régulateurs appliquent à l'activité cross-chain.
La leçon plus large sur l'architecture des risques
Le signal le plus clair de cet exploit est peut-être celui que l'analyse de Chainalysis met directement en évidence : la sécurité d'une blockchain sous-jacente et la sécurité de l'infrastructure construite au-dessus ne sont pas la même chose. La couche de base de Bitcoin n'a pas été compromise. Aucune règle du protocole Bitcoin n'a été enfreinte. La vulnérabilité résidait entièrement dans le logiciel de validation des transactions de Liquid, une couche ajoutée par les développeurs pour étendre les fonctionnalités de Bitcoin.
À mesure que les institutions étendent leurs opérations d'actifs numériques à travers les sidechains, les protocoles de pont, les réseaux de couche 2 et les arrangements de garde tiers, chaque couche supplémentaire comporte sa propre surface d'attaque. Les cadres comptables et d'audit construits autour de la détention de jetons natifs ne sont pas automatiquement adéquats pour les positions détenues à travers ces piles étendues. Les cabinets qui s'appuient sur un logiciel de comptabilité crypto pour gérer des positions multicouches devraient demander aux fournisseurs si leur logique de rapprochement peut détecter les pénuries de réserve en temps réel, et pas seulement après qu'un événement de prix a déjà reflété le dommage.
Questions fréquentes
Qu'est-ce que le L-BTC et en quoi diffère-t-il du BTC ?
Le L-BTC est un jeton adossé qui représente du BTC sur la sidechain Liquid Network. Dans des conditions normales, il est adossé 1:1 à des BTC détenus par la Liquid Federation, mais c'est un jeton distinct sur un réseau distinct avec sa propre pile logicielle. L'exploit a montré que le L-BTC peut perdre son adossement si cette pile logicielle est compromise, même lorsque Bitcoin lui-même n'est pas affecté.
Comment les cabinets doivent-ils comptabiliser les L-BTC ou actifs enveloppés similaires détenus pendant une pénurie de réserve ?
Selon IFRS 9 et ASC 820, les actifs doivent être évalués à la juste valeur ou faire l'objet d'un test de dépréciation sur la base de toutes les informations disponibles à la date de reporting. Si la réserve d'un actif adossé est connue comme épuisée à la date du bilan, le porter à sa pleine valeur d'adossement sans information ni ajustement de dépréciation serait difficile à défendre lors d'un audit. Les cabinets devraient documenter leurs processus de surveillance et la date à laquelle ils ont eu connaissance de tout événement de réserve.
Qu'est-ce que cela signifie pour les cabinets utilisant un logiciel de comptabilité d'actifs numériques pour suivre des positions de pont ou de sidechain ?
La plupart des logiciels de comptabilité d'actifs numériques enregistrent les jetons enveloppés ou adossés à leur valeur d'adossement déclarée. Cet incident montre que l'intégrité de l'adossement dépend de données de réserve on-chain en direct, et non d'un simple flux de prix. Les cabinets devraient vérifier si leur logiciel a un accès direct aux données de réserve pour tout jeton de sidechain ou de pont qu'ils détiennent, et considérer l'absence de ce flux comme une lacune de contrôle de rapprochement nécessitant une remédiation.
Quelles sont les obligations AML si nous recevons des fonds liés à cet exploit ?
Tout fonds traçable vers les adresses de l'exploit est associé à un événement de vol connu, quel que soit le cadrage white-hat. Recevoir, traiter ou transmettre ces fonds sans diligence appropriée pourrait déclencher des obligations de déclaration d'activités suspectes dans la plupart des grandes juridictions. Les équipes de conformité devraient mettre à jour leurs règles d'analyse blockchain pour signaler ces adresses et demander un avis juridique avant de traiter toute transaction liée.
Les 600 BTC retenus constituent-ils légalement une prime ?
À la date de reporting, ni Blockstream ni les attaquants n'avaient publiquement confirmé un quelconque arrangement de prime. Le montant retenu se trouve dans une position juridique non résolue. Qu'il constitue une prime, un produit du crime ou autre chose dépendra de la juridiction, des faits de tout accord conclu et de l'interprétation réglementaire. Les cabinets ne devraient pas supposer qu'un cadrage white-hat supprime les obligations de conformité.
Source : Chainalysis