La sidechain Liquid a annoncé dimanche 6 septembre 2026 que des auteurs se présentant comme des « white hats » ont retiré environ 4 000 bitcoins du portefeuille fédéré qui adosse son jeton natif, le L-BTC, soit 95 % de la réserve.
Développée avec le soutien technique de Blockstream, Liquid repose sur une Fédération de quinze entités identifiées, qui gèrent collectivement le pont entre Bitcoin (le collatéral) et le L-BTC : il faut en principe une majorité qualifiée de onze signatures sur quinze, complétée par des clés d’autorisation de peg-out (PAK), pour faire sortir des fonds de la réserve. Le principe est un adossement un pour un : chaque L-BTC en circulation est censé correspondre à un bitcoin verrouillé dans le multisig de la Fédération.
C’est ce mécanisme qui a été mis en défaut dimanche après-midi. Le retrait s’est présenté comme un peg-out ordinaire, traité via la PAK de SideSwap, échange membre de la Fédération. Liquid a précisé que cette clé n’avait pas été compromise, pas plus que les autres, sans préciser la faille exacte ayant permis l’opération. Les auteurs ont laissé un message OP_RETURN : « we are whitehats. contact us on chain ». Des échanges de messages on-chain ont suivi entre eux et Blockstream, chacun invitant l’autre à le contacter, sans qu’un accord n’ait été rendu public à ce stade.
Dans l’attente d’en savoir plus, les nœuds de pont ont été désactivés et le sidechain mis en pause ; les plateformes ont suspendu les dépôts et retraits de L-BTC. Il n’est évidemment plus possible de convertir les L-BTC et bitcoins. Les autres actifs émis sur Liquid (USDT, DePix, titres tokenisés) ne semblent pas concernés.
Selon SideSwap, l’ordre de peg-out provenait d’un client et a été traité comme une demande normale : les L-BTC correspondants ont bien été brûlés côté Liquid avant que la Fédération ne libère l’équivalent en bitcoins — un point que Liquid confirme également. Selon SideSwap c’est un bug d’Elements, le logiciel sur lequel tourne Liquid, qui aurait permis de faire apparaître des L-BTC n’ayant jamais été adossés à des bitcoins réels, puis de les échanger contre de vrais BTC. Cette explication reste toutefois non confirmée officiellement : ni Liquid ni Blockstream n’ont détaillé la vulnérabilité exacte à ce stade.
@stutxo, un développeur Bitcoin indépendant, émet l’hypothèse d’une faille de consensus liée aux confidential transactions d’Elements, plus précisément au cache des range proofs, ces preuves qui montrent qu’un montant confidentiel n’est pas négatif sans le révéler : une ou deux transactions de préparation valides (dont l’une confirmée au bloc 4 050 335 le 6 septembre) auraient amorcé ce cache, puis une transaction suivante, porteuse d’une « preuve » invalide d’environ 4 234 octets mais avec une clé de cache déjà acceptée, aurait scindé le réseau au bloc 4 050 336 et créé 3 996,0183 L-BTC. Le tour de passe-passe comptable consisterait à faire apparaître environ 3 996 L-BTC sur une sortie tout en « brûlant » 3 996 L-BTC, de sorte que les montants se compensent visuellement, passent les contrôles d’équilibre et laissent pourtant subsister des L-BTC fictifs, échangés ensuite via SideSwap contre des BTC réels de la Fédération.
Le montant précis varie selon les sources (de 3 996 à un peu plus de 4 000 BTC), mais toutes s’accordent sur l’essentiel : la réserve de la Fédération est passée d’environ 4 200 BTC à un peu plus de 200 BTC, amputant la liquidité du peg d’environ 95 %.
En ce qui concerne l’auteur du vol, le label « white hat » reste contesté. Charles Guillemet, directeur technique de Ledger, a fait observer qu’un chercheur en sécurité divulgue d’ordinaire une faille avant de déplacer plusieurs centaines de millions de dollars de collatéral. Les fonds n’ont pour l’essentiel pas été dispersés à ce stade, ce qui nourrit à la fois l’hypothèse d’un « sauvetage » négocié et celle d’un exploit suivi d’une tentative de marchandage.
Les conséquences de cette situation pourraient être catastrophiques pour les détenteurs de L-BTC. Si le hacker ne restitue pas les fonds, ils auront perdu 95% de la valeur de ce qu’ils détenaient. Précisons que cet incident ne remet pas en cause la solidité du protocole Bitcoin, mais il montre en revanche ce que coûte un bug sur une sidechain fédérée à l’heure de l’IA.
Sources :
- Liquid Network : https://x.com/Liquid_BTC/status/2096696272447218108
- SideSwap (premier communiqué) : https://x.com/side_swap/status/2096699705216352357
- SideSwap (déclaration détaillée) : https://x.com/side_swap/status/2096709838310928674
- The Block : https://www.theblock.co/news/defi/2026-09-06-liquid-network-pauses-after-purported-white-hat-hackers-withdraw-320-million-in-bitcoin-413626
- Bitcoin Magazine : https://bitcoinmagazine.com/news/alleged-white-hat-hackers-withdraw-4000-bitcoin-from-blockstreams-liquid-network-federation-reserves
- BeInCrypto : https://beincrypto.com/liquid-peg-320-million-whitehat-message/
- Blockonomi (réaction du CTO de Ledger) : https://blockonomi.com/ledger-cto-challenges-whitehat-claim-after-liquids-4000-btc-peg-out/
