Qui casse les verres les paie. Une faille dans Elements, le logiciel qui fait tourner Liquid Network, a permis de créer environ 3 998,5 L-BTC sans la moindre contrepartie le 6 septembre. Environ 320 millions de dollars ont été drainés sur le plus gros sidechain Bitcoin adossé à Blockstream.
Depuis, le feuilleton n’en finit plus de rebondir entre restitution partielle des fonds, redémarrage du réseau et blocage persistant des retraits. Douze jours plus tard, la fédération a publié un point complet sur la situation. Voici où on en est vraiment.
- Liquid Network a été victime d’une faille permettant la création d’environ 3 998,5 L-BTC sans contrepartie, drainant près de 320 millions de dollars, dont 85 % rendus dès le 7 septembre.
- Sur environ 3 998,5 L-BTC retirés, 3 400 ont été récupérés, mais environ 598,5 BTC manquent toujours à l’appel, le groupe de hackers exigeant une commission supplémentaire sous peine de chantage.
Liquid Network reprend son souffle, les peg-outs restent muets
La production de blocs et les transactions du réseau, transferts de L-BTC compris, fonctionnent normalement depuis leur reprise le 10 septembre. Les peg-outs restent suspendus. Aucun retrait possible.
Dans un message publié le 17 septembre sur X, Liquid Network détaille un retour progressif des services partenaires. Aqua a lancé Indra, une nouvelle fonctionnalité de swap entre L-BTC et Lightning, même si la liquidité reste limitée. Bull Bitcoin et l’application Blockstream proposent de nouveau les transferts d’actifs Liquid, mais restent sans les routes de conversion vers du BTC ou vers le réseau Lightning pour l’instant.
Mifiel a repris l’émission de ses billets à ordre numériques adossés à Liquid, avec des lots qui se confirment normalement. SideShift, de son côté, a réactivé les échanges cross-chain pour l’USDT et le DEPIX sur le réseau. La disponibilité varie encore d’un prestataire à l’autre : mieux vaut vérifier au cas par cas avant de tenter un dépôt ou un retrait.
LIQUID NETWORK UPDATE: ECOSYSTEM ACTIVITY
Status as of September 17, 2026, 21:05 UTCNetwork and Ecosystem Status
Since resuming on September 10, block production and network transactions, including LBTC transfers, have operated normally. Peg-out operations remain paused while…
— Liquid Network
(@Liquid_BTC) September 17, 2026
Les 600 bitcoins qui manquent toujours à l’appel
Sur environ 3 998,5 L-BTC retirés le 6 septembre, 3 400 sont revenus à la fédération dès le lendemain. Les auteurs du hack, un groupe qui se présente, via un message OP_RETURN, comme des chercheurs en sécurité whitehat, en ont gardé le reste. Il manque toujours environ 598,5 BTC, soit près de 46 millions de dollars au cours actuel. La récupération de ce reliquat se poursuit, sans date de résolution annoncée.
Le groupe a même remis une couche par la suite, réclamant à Blockstream, toujours via OP_RETURN, le versement d’une commission supplémentaire de 10 % sous peine de faire chuter la valeur du L-BTC. Le terme « chercheurs en sécurité » passe mal quand la méthode ressemble à du chantage.
Liquid Network ne fixe aucune date. La reprise des peg-outs attendra une couverture 1:1 du L-BTC pleinement confirmée, complétée par des tests approfondis et des audits de sécurité menés par des experts indépendants.
La faille enfin nommée : une collision de cache dans Elements
Le rapport technique complet se fait encore attendre, mais la cause a été identifiée et corrigée dans Elements v23.3.4. Selon l’analyse publiée par SlowMist, le système de vérification des preuves de plage mettait en cache les preuves déjà validées sans préfixe de longueur.
Deux preuves différentes pouvaient donc générer la même clé de cache. Il suffisait de forger une preuve invalide partageant la clé d’une preuve légitime déjà validée pour la faire passer pour authentique. Le groupe a ainsi fait émettre des L-BTC sans le moindre bitcoin en garantie, aussitôt convertis en vrais BTC avant toute intervention possible.
Blockstream vante depuis des années les atomic swaps comme brique de confiance de son sidechain. La même collision de cache a permis d’émettre environ 3 998,5 L-BTC sans la moindre garantie derrière.
La confiance reste pourtant le nerf de la guerre pour les plateformes qui dépendent du peg-out pour sortir leurs L-BTC. Tant que le groupe de hackers n’aura pas rendu les environ 598,5 BTC restants ni renoncé à sa demande de commission, Blockstream avance sur un fil, entre rassurer son écosystème et éviter de céder à un chantage déguisé en bug bounty.
L’article Hack à 320 millions de $ sur Liquid Network : 600 BTC perdus de vue est apparu en premier sur Journal du Coin.
