4 000 BTC retirés du réseau Liquid : ce que les entreprises doivent savoir

Un dimanche après-midi de septembre 2026, environ 4 000 BTC, d'une valeur approximative de 320 millions de dollars, ont quitté le portefeuille de la fédération Blockstream Liquid Network en une seule transaction. L'attaquant a utilisé ce qui semblait être une demande de peg-out de routine, soutenue par 11 des 15 signatures cryptographiques de la fédération, pour retirer des bitcoins qui n'auraient jamais dû être remboursables. Lundi matin, près de 3 998 BTC se trouvaient toujours à l'adresse de l'attaquant, accompagnés d'un message en chaîne revendiquant des intentions whitehat. Pour les cabinets comptables, les directeurs financiers et les auditeurs ayant une exposition au Liquid Bitcoin (LBTC) ou aux actifs enveloppés sur sidechain, cet incident est une étude de cas vivante de ce qui se produit lorsque l'écriture comptable indique « équivalent BTC » mais que le peg sous-jacent se brise silencieusement.

Ce qui s'est réellement passé : la mécanique de l'exploit

Le Liquid Network est une sidechain fédérée. Les BTC verrouillés sur la chaîne principale sont censés être représentés 1:1 par des jetons LBTC sur la sidechain. Les remboursements, appelés peg-outs, nécessitent une supermajorité des membres de la fédération pour co-signer. Le chemin de secours d'urgence du réseau nécessite deux des trois clés de secours et une période d'attente de 8 064 blocs (environ 56 jours). Aucun de ces mécanismes d'urgence n'a été déclenché ici, car aucun n'était nécessaire : l'attaquant a simplement soumis une demande de peg-out d'apparence valide que la fédération a signée.

Le bug de validation de signature

Le contributeur de Bitcoin Core, Antoine Poinsot, a noté publiquement que le bloc 4 050 336 de la chaîne Liquid avait été rejeté par un nœud d'audit indépendant de la fédération mais accepté par l'infrastructure de Blockstream. Les 83 entrées de la transaction de drain portaient exactement 11 signatures valides sur la branche de signature 11-sur-15 de la fédération. Les jetons LBTC utilisés pour déclencher le remboursement n'auraient pas dû exister, ce qui indique une faille dans la façon dont le réseau validait l'état de la sidechain avant d'autoriser un peg-out.

Le codebase Elements, un fork open source de Bitcoin Core maintenu principalement par Blockstream et la base de Liquid, avait connu une série de commits liés à la validation au cours de la première semaine de septembre. Un commit écrit le 1er septembre traitait de la validation de la hauteur du bloc dynafed, avec le message de commit expliquant qu'un en-tête dynafed avec une hauteur non concordante pouvait auparavant être accepté sans erreur. Que cette correction spécifique, ou son absence dans les nœuds déployés, soit directement liée à l'exploit n'a pas été officiellement confirmé au moment de la rédaction.

Code obsolète et l'écart de deux ans

Le responsable de la sécurité de Casa, Jameson Lopp, a observé que le codebase des functionaries de Liquid semblait n'avoir eu aucun commit pendant environ deux ans. Le dernier commit enregistré du dépôt public était daté du 19 avril 2024, ce qui signifie que le logiciel protégeant la fédération est resté sans mise à jour publique pendant plus de deux ans avant l'incident. Cette observation est importante pour les entreprises évaluant le risque de contrepartie et de garde : une absence d'activité de maintenance visible sur une infrastructure critique pour la sécurité est en soi un facteur de risque auditable.

Le chemin de peg-out et le rôle de SideSwap

SideSwap, un service qui facilite les peg-outs de LBTC, a traité l'ordre de remboursement. SideSwap a attribué l'incident à des LBTC défectueux provenant d'un bug tiers dans le logiciel Elements, niant que ses propres systèmes aient été compromis. Liquid Network a confirmé séparément que la clé d'autorisation de peg-out de SideSwap, connue sous le nom de PAK, n'était pas elle-même compromise, pas plus que les autres clés de la fédération. Les fonds sont partis par un chemin de signature légitime, ce qui rend l'exploit techniquement sophistiqué et opérationnellement alarmant : aucune clé n'a été volée, aucun portefeuille n'a été piraté. Les règles ont été suivies, mais elles ont été appliquées à des jetons qui n'auraient pas dû passer la validation.

Divulgation, transparence et le problème de la piste d'audit

Liquid Network a confirmé l'incident à environ 16h25, heure de New York, déclarant que la sidechain Liquid était effectivement en pause en attendant une résolution, avec les nœuds de pont désactivés et les échanges suspendant les dépôts et retraits de LBTC. Ce qui est instructif pour les auditeurs, c'est la façon dont l'information a émergé. Mempool.space, elle-même membre de la fédération Liquid, a signalé un retrait négatif non autorisé de 4 019 BTC dans son audit en temps réel des avoirs de la fédération. Le tableau de bord officiel de Liquid Network sur Liquid.net n'a pas immédiatement reflété la perte. Le nœud d'audit indépendant a été plus rapide et plus précis que l'interface publique de l'opérateur lui-même.

Messages en chaîne et revendications whitehat

L'attaquant a publié deux messages OP_RETURN en chaîne. Le premier disait « nous sommes des whitehats, contactez-nous en chaîne ». Une deuxième adresse, apparemment contrôlée par le même acteur, dirigeait les destinataires vers l'adresse e-mail de sécurité de Blockstream. Un message de suivi aurait inclus un identifiant Signal pour une communication ultérieure. Ces messages ne constituent pas un safe harbour juridique, et les entreprises doivent traiter les revendications whitehat comme non vérifiées jusqu'à ce qu'elles soient formellement confirmées par la partie affectée. Les pièces n'avaient pas été restituées lundi matin.

Implications comptables pour les entreprises détenant du LBTC

Cet incident est un test de stress direct de la façon dont les jetons enveloppés et adossés à une sidechain sont classés et valorisés dans les états financiers. Les questions comptables ne sont pas hypothétiques pour toute entreprise, fonds ou trésorerie ayant enregistré des positions en LBTC.

Intégrité du peg et évaluation à la juste valeur

Sous IFRS 9 et ASC 820, les actifs cryptographiques sont généralement comptabilisés à la juste valeur. L'hypothèse implicite lors de l'enregistrement du LBTC à une valeur équivalente au BTC est que le peg tient. Lorsque le réseau est en pause et que le mécanisme de peg est démontrablement cassé, la juste valeur du LBTC n'est plus la même que celle du BTC. Les entreprises doivent évaluer si la valeur comptable de toute position en LBTC nécessite une dépréciation immédiate pour refléter la suspension de la convertibilité. Même si un rétablissement complet est attendu, la date de mesure compte : un bilan de fin de période qui ignore la pause pourrait être trompeur.

Responsabilité de garde et reconnaissance des pertes

Pour les dépositaires et les échanges qui détenaient du LBTC pour le compte de clients, la question la plus immédiate est la reconnaissance des pertes. Si les actifs des clients étaient libellés en LBTC et que le chemin de peg-out est suspendu, il existe une responsabilité potentielle envers les clients qui ne peut pas être réglée au pair. Les dépositaires doivent examiner leurs obligations contractuelles, évaluer si l'événement déclenche une clause de changement défavorable important, et déterminer si une provision est requise sous IAS 37 ou son équivalent GAAP. Le fait qu'un bug tiers dans Elements soit cité comme cause n'éteint pas automatiquement la responsabilité de garde envers les clients finaux.

Dépréciation, pas seulement volatilité

Une baisse de prix de routine du BTC ne crée pas d'événement de dépréciation comptable pour la plupart des cadres, car c'est un mouvement de marché. Une rupture de peg est différente. C'est une défaillance structurelle de l'instrument lui-même. Les entreprises utilisant un logiciel comptable crypto intégré au reporting de conformité doivent signaler la pause du Liquid Network comme un indicateur potentiel de dépréciation nécessitant une revue spécifique du grand livre, distincte des routines normales de mark-to-market. Un bon logiciel de comptabilité pour actifs numériques devrait être capable de distinguer le risque de prix de marché du risque de contrepartie ou de défaillance de protocole dans sa logique de classification.

Obligations AML et de conformité

Le récit whitehat peut ou non s'avérer exact. Jusqu'à ce qu'il soit formellement confirmé et que les fonds soient restitués, la posture de conformité doit traiter cela comme un transfert non autorisé d'environ 320 millions de dollars en bitcoins. Cela a plusieurs implications immédiates.

Surveillance des transactions et activités suspectes

Tout échange ou PSV qui a traité du LBTC pendant la fenêtre autour de l'exploit, ou qui reçoit des fonds des adresses identifiées de l'attaquant, fait face à une exposition potentielle sous la Recommandation 16 du GAFI et les cadres nationaux applicables de la règle de voyage. Les entreprises doivent vérifier les adresses publiées de l'attaquant contre les listes de sanctions et signaler toute contrepartie ayant reçu des fonds de ces adresses. Les messages en chaîne ne suppriment pas l'obligation de déposer une déclaration d'activité suspecte lorsque la loi locale l'exige. Référez-vous à notre analyse des obligations AML lorsque des cryptos sont volées ou saisies pour le cadre sous-jacent.

Dépositaires : délais de déclaration d'incident

Les dépositaires réglementés dans l'UE sous MiCA, au Royaume-Uni sous le régime d'enregistrement des actifs cryptographiques de la FCA, ou aux États-Unis sous les licences de transmission de fonds des États, font généralement face à des obligations de déclaration d'incident obligatoires lorsque des actifs clients sont perdus ou en risque. La pause du Liquid Network crée une ambiguïté : les actifs ne sont pas définitivement perdus si une récupération est négociée, mais ils sont inaccessibles. Les entreprises doivent obtenir un avis juridique sur la question de savoir si la pause déclenche un incident à déclarer sous leur cadre réglementaire spécifique et documenter cette analyse clairement, y compris l'horodatage du moment où la haute direction a été informée pour la première fois.

Leçons de gestion des risques pour l'exposition aux sidechains

L'incident est structurellement comparable, bien que mécaniquement distinct, à l'exploit du pont Ronin de 2022. Dans les deux cas, un mécanisme multi-signatures était la surface d'attaque plutôt qu'une sauvegarde. Notre analyse précédente de la façon dont les exploits de ponts se comparent à l'incident Ronin couvre les dimensions AML et de sanctions qui s'appliquent lorsque de grands volumes de cryptos volées commencent à circuler à travers les échanges.

Due diligence sur l'infrastructure des actifs enveloppés

Les entreprises qui détiennent, gardent ou acceptent des actifs enveloppés ou adossés à une sidechain comme garantie devraient, au minimum, pouvoir répondre aux questions suivantes sur l'infrastructure sous-jacente : quand le codebase principal du protocole a-t-il été audité pour la dernière fois par un tiers indépendant ; à quelle fréquence les mises à jour du logiciel des nœuds de la fédération ou des validateurs sont-elles poussées et suivies ; quel est le mécanisme de suspension du peg-out et qui le contrôle ; et le logiciel de tenue de livres crypto de l'entreprise signale-t-il les événements de statut du peg comme une catégorie de risque distincte. Si la réponse à l'une de ces questions n'est pas claire, cette lacune appartient au prochain rapport du comité des risques.

Concentration et diversification

Détenir 320 millions de dollars dans un seul wrapper de sidechain soutenu par une fédération dont le codebase public n'avait pas été mis à jour depuis plus de deux ans représente un risque de concentration qu'une due diligence standard devrait mettre en évidence. Pour les fonctions de trésorerie et les gestionnaires d'actifs, l'incident renforce le cas de la diversification des contreparties à travers les solutions de garde et d'enveloppement, avec des limites explicites sur l'exposition à toute sidechain fédérée unique.

L'incident du Liquid Network est toujours en cours d'évolution. Blockstream n'a pas encore publié de post-mortem complet, et le statut des 4 000 BTC reste non résolu. Cet article sera mis à jour à mesure que des faits matériels seront confirmés. Les entreprises ne doivent pas attendre un post-mortem pour commencer leur propre revue interne de l'exposition au LBTC, la surveillance du statut du peg et les positions de responsabilité de garde.

Source : Protos