Oui : selon les informations communiquées sur l’incident du 6 septembre 2026, près de 3 998,5 BTC, soit environ 95 % du collatéral de Liquid Network, ont été retirés frauduleusement. Les auteurs ont ensuite rendu environ 3 400 BTC après négociation, mais 598,5 BTC restaient manquants dans les éléments rapportés, laissant la convertibilité du L-BTC vers Bitcoin sous pression.
Le piratage n’a pas touché la blockchain Bitcoin elle-même : la faille concernait le logiciel Elements, qui vérifie les transactions confidentielles de la sidechain. Pour comprendre les conséquences sans confondre les risques, nous pouvons retenir ces repères :
A lire en complément : HashKey sécurise 250 millions de dollars pour lancer un fonds crypto inédit, répondant à l'essor de la demande institutionnelle
- Réserve avant l’attaque : environ 4 200 BTC, dont près de 3 998,5 BTC ont été sortis.
- Restitution annoncée : autour de 3 400 BTC, soit environ 85 % des fonds retirés.
- Situation des retraits : les peg-outs vers Bitcoin demeurent suspendus tant que la couverture et les contrôles ne sont pas jugés suffisants.
Pour les détenteurs de cryptomonnaies, l’enjeu dépasse le montant du vol de fonds : il porte sur la confiance dans le mécanisme qui garantit qu’un L-BTC peut être échangé contre un BTC. Nous allons revenir sur l’attaque, son mécanisme technique et les vérifications à suivre avant d’utiliser à nouveau cette passerelle.
Piratage de Liquid Network : pourquoi 95 % du collatéral étaient exposés
Liquid Network est une sidechain liée à Bitcoin, conçue pour faciliter des transferts plus rapides et confidentiels. Lorsqu’un utilisateur y déplace des bitcoins, ses BTC sont immobilisés sur la passerelle et des L-BTC sont émis en contrepartie, avec un objectif d’adossement à parité : 1 L-BTC pour 1 BTC.
A voir aussi : XRP Ripple : Une victoire judiciaire majeure stimule sa reprise en 2026 !
Avant l’attaque, la réserve rapportée avoisinait 4 200 BTC. Le retrait de 3 998,5 BTC représentait donc environ 95,2 % du total, laissant près de 200 BTC disponibles avant la restitution partielle. À titre d’exemple, une société fictive qui aurait conservé 100 L-BTC pour les convertir en BTC se serait retrouvée face à une passerelle dont les retraits étaient bloqués, et non à une transaction Bitcoin ordinaire en panne.
La distinction est essentielle : le réseau Bitcoin de première couche n’a pas été vidé. C’est le collatéral contrôlé par la fédération de Liquid qui a été affecté, ce qui montre qu’une sidechain ajoute ses propres dépendances de code, de gouvernance et de gestion des réserves.
Comment la faille d’Elements a permis de créer des L-BTC fictifs
Les auteurs auraient d’abord généré des L-BTC sans déposer les bitcoins correspondants, puis utilisé le mécanisme de peg-out pour convertir ces jetons en BTC réels. La sortie s’est présentée comme un retrait normal vers une nouvelle adresse, alors que les jetons utilisés n’étaient pas adossés à des fonds équivalents.
La vulnérabilité se trouvait dans le cache des range proofs, les preuves mathématiques servant à contrôler les montants des transactions confidentielles. Le logiciel Elements pouvait associer la même clé de cache à des preuves distinctes : dans certaines conditions, une preuve invalide était alors considérée comme déjà vérifiée.
Les éléments techniques fournis situent une transaction comportant une preuve invalide d’environ 4 234 octets au bloc 4 050 336. Cette manipulation aurait fait apparaître près de 3 996 L-BTC fictifs. Le fait qu’un correctif soit apparu dans le code public avant son déploiement complet illustre un risque propre aux projets open source : une correction publiée trop tôt peut aussi révéler aux attaquants la piste à exploiter.
La clé PAK de SideSwap a servi dans le parcours du retrait, mais les explications rapportées indiquent qu’elle n’aurait pas été compromise. L’incident relève donc d’abord d’un défaut logiciel et de validation, pas d’un vol direct de clés privées.
3 400 BTC restitués : ce que l’on sait des auteurs du piratage
Le 7 septembre, les auteurs ont restitué environ 3 400 BTC, soit près de 85 % du montant retiré. Ils ont communiqué leur revendication sur la blockchain au moyen de messages OP_RETURN, se présentant comme des « white hats » et demandant que la faille soit corrigée avant le retour des fonds.
Cette qualification reste contestée. Les auteurs auraient aussi demandé une commission de 10 % et menacé d’affecter la valeur du L-BTC si leurs conditions n’étaient pas acceptées. Déplacer plusieurs centaines de millions de dollars avant de signaler une faille ne correspond pas aux pratiques habituelles d’une divulgation responsable, même lorsque des fonds sont ensuite rendus.
La restitution aurait été enregistrée dans le bloc Bitcoin 965 950, après que Blockstream a signé un message confirmant la mise à jour des nœuds de la passerelle. Les 598,5 BTC restants, évalués à environ 47 millions de dollars dans les données rapportées, maintiennent la question de la couverture complète ouverte.
Le tableau résume les principaux chiffres disponibles ; les montants en dollars sont des estimations associées à l’incident et peuvent varier avec le cours du bitcoin.
| Élément | Montant ou état rapporté | Lecture |
|---|---|---|
| Réserve avant l’attaque | Environ 4 200 BTC | Collatéral destiné à soutenir les L-BTC |
| Retrait frauduleux | 3 998,5 BTC, près de 95 % | Sortie consécutive à la création de jetons sans contrepartie |
| Fonds restitués | Environ 3 400 BTC | Près de 85 % du montant retiré |
| Solde non restitué | 598,5 BTC, environ 47 millions de dollars | Montant restant selon les informations communiquées |
Retraits L-BTC vers Bitcoin suspendus : quelles conséquences pour les utilisateurs ?
Après le piratage, Blockstream a désactivé la passerelle et demandé aux plateformes d’échange de suspendre dépôts et retraits concernés. D’après les informations fournies, la production de blocs et les transactions en L-BTC ont repris à partir du 10 septembre, tandis que les peg-outs vers Bitcoin sont restés bloqués.
La nuance compte : pouvoir transférer un actif sur Liquid ne signifie pas nécessairement pouvoir le reconvertir immédiatement en BTC. Pour une entreprise qui utilise la sidechain afin de régler rapidement une opération, la circulation interne peut continuer alors que la sortie vers Bitcoin demeure indisponible.
Quelques services ont repris certaines fonctions, avec des limites qui leur sont propres : Aqua a lancé Indra pour des swaps L-BTC vers Lightning, Bull Bitcoin et l’application Blockstream ont réactivé des transferts d’actifs Liquid, Mifiel a repris l’émission de billets à ordre numériques, et SideShift a relancé des échanges pour USDT et DEPIX sur Liquid. Ces reprises partielles ne prouvent pas que tous les dépôts ou retraits sont de nouveau possibles.
- Vérifiez le statut du service utilisé : les conditions peuvent différer d’une plateforme à l’autre.
- Ne confondez pas transfert et rachat : une transaction en L-BTC sur Liquid ne garantit pas un peg-out disponible.
- Évaluez votre besoin de liquidité : si vous devez disposer de BTC sur la chaîne principale à court terme, tenez compte du blocage des sorties.
Pour suivre les évolutions du marché sans les confondre avec l’incident, vous pouvez aussi consulter cet éclairage sur le rebond du bitcoin autour de 87 000 dollars. Le prix du BTC et la disponibilité d’un peg-out répondent à des facteurs distincts : un cours stable ne rétablit pas, à lui seul, la convertibilité d’une sidechain.
Ce que l’incident révèle sur la sécurité des sidechains Bitcoin
Liquid s’appuie sur une fédération de 15 entités ; selon le mécanisme décrit, 11 signatures sur 15 sont requises pour autoriser un peg-out. Cette organisation répartit le contrôle, mais elle ne supprime pas le risque logiciel : une validation erronée peut rendre possible une sortie qui paraît conforme au système.
La sécurité informatique d’une sidechain dépend donc de plusieurs couches : qualité du code, comportement des nœuds, coordination des mises à jour, contrôle des réserves et procédures d’urgence. Ici, les clés n’auraient pas été dérobées ; le défaut dans Elements a suffi à créer des actifs numériques sans collatéral équivalent et à déclencher une perte majeure.
Pour les utilisateurs, la comparaison avec Bitcoin doit rester précise. Une sidechain peut apporter rapidité et confidentialité, mais la conversion dépend de son mécanisme de pont et de ses règles propres. L’évolution d’autres réseaux liés à la tokenisation, comme le présente cet aperçu des blockchains étudiées pour la tokenisation, rappelle que chaque infrastructure doit être évaluée selon ses garanties concrètes, pas seulement selon ses usages annoncés.
La fédération et Blockstream ont posé comme conditions à une reprise des retraits une couverture complète à 1:1, des tests approfondis et des audits de sécurité indépendants. Tant que ces vérifications ne sont pas achevées et que les fonds manquants ne sont pas récupérés ou compensés, le risque de conversion demeure au cœur de l’incident.
Reprise de Liquid Network : les vérifications à surveiller
Le retour à la normale dépend de plusieurs éléments observables : le statut des 598,5 BTC manquants, la confirmation publique du niveau de couverture, le déploiement du correctif sur les nœuds concernés et les résultats d’audits indépendants. Une annonce de reprise ne suffit pas si elle ne précise pas ce qui a été testé et quelles fonctions sont effectivement ouvertes.
La transparence des mises à jour mérite une attention particulière. Le correctif disponible dans le code public avant la mise à jour complète montre pourquoi les équipes open source doivent coordonner divulgation, publication et déploiement : l’ouverture du code favorise l’examen collectif, mais le calendrier de correction peut aussi exposer une faiblesse non encore neutralisée.
Pour un détenteur de L-BTC, le signal déterminant n’est donc pas seulement le redémarrage des blocs. Il s’agit de savoir si chaque jeton peut à nouveau être échangé contre un BTC selon un mécanisme vérifié, et si les audits permettent de réduire le risque de répétition. C’est cette preuve opérationnelle, plus que la reprise partielle des services, qui pourra restaurer la confiance dans Liquid Network.
