Dans la nuit du 6 au 7 septembre, 4 000 BTC ont quitté le portefeuille fédéré du Liquid Network, le sidechain Bitcoin opéré par Blockstream et utilisé par plus de 80 exchanges, gestionnaires d’actifs et firmes d’infrastructure. Soit environ 320 millions de dollars évaporés en quelques heures. Le réseau a été aussitôt mis en pause, les nœuds de bridge désactivés, les transactions gelées. Puis un message est apparu on-chain : « we are whitehats ».
Le portefeuille fédéré contenait avant l’attaque quelque 4 200 BTC, garantie physique adossée aux L-BTC circulant sur le sidechain pour permettre aux exchanges de régler leurs opérations plus vite que sur la blockchain principale. Les assaillants en ont extrait 95 %, ne laissant derrière eux qu’une coquille presque vide et un modèle de confiance en lambeaux. Car le Liquid Network repose entièrement sur cette réserve pour justifier l’existence même de ses jetons de règlement. Sans collatéral… le mécanisme perd sa raison d’être.
Blockstream a attribué l’incident non pas à une compromission de clés privées, mais à un bug logiciel dans Elements, le moteur transactionnel du sidechain. Les fonds ont transité par SideSwap, une plateforme de peg-out parfaitement autorisée, incapable de distinguer les coins générés par la faille de ceux légitimement détenus. Ce vecteur d’attaque détonne là où la quasi-totalité des hacks crypto de l’année reposaient sur le vol de clés ou l’ingénierie sociale. Ici, la vulnérabilité se nichait dans le code des nœuds eux-mêmes.
Les auteurs du drain ont ensuite adressé aux mainteneurs du réseau une série de transactions Bitcoin contenant des messages embarqués. « Please fix the bug first. The chain is under risk at least commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix », peut-on lire dans l’un d’eux. Une exigence formulée comme un ultimatum technique, où le retour des fonds reste conditionné à un correctif vérifié et déployé sur l’ensemble des nœuds fédérés. Le terme whitehat, revendiqué mais non confirmé de manière indépendante, désigne un hacker éthique qui exploite une faille avant qu’un acteur malveillant ne le fasse, généralement contre une prime de bug bounty.
A lire également
Plusieurs exchanges ont déjà suspendu les dépôts et retraits de L-BTC, tandis que les actifs tokenisés sur Liquid (dont l’USDT, le DePix et divers actifs du monde réel) n’auraient pas été affectés selon les premières analyses. Le montant dérobé dépasse à lui seul, et de très loin, le total cumulé des hacks crypto recensés en août 2026, estimé à 136 millions de dollars répartis sur une cinquantaine d’incidents. Avec 320 millions en une seule opération, l’exploit du Liquid Network constitue le plus gros piratage crypto de l’année, et frappe une infrastructure conçue pour servir de colonne vertébrale aux échanges institutionnels.
Blockstream n’a communiqué ni calendrier de réouverture du réseau, ni confirmation que les bitcoins seraient effectivement restitués. Quatre mille BTC flottent quelque part entre une promesse on-chain et le silence d’une fédération de 80 membres qui n’a, pour l’heure, rien garanti.
