Liquid : la faille qui a vidé presque toute la réserve de bitcoins

L’incident de sécurité survenu sur Liquid en septembre 2026 a mis en échec le mécanisme censé garantir que chaque L-BTC soit couvert par un bitcoin réel. Des acteurs non identifiés, qui se sont eux-mêmes qualifiés de « white hats », auraient exploité une faille du logiciel Elements utilisé par Liquid pour créer des L-BTC sans BTC équivalent en réserve. Ils les ont ensuite présentés au mécanisme habituel de retrait vers Bitcoin — le peg-out — afin de recevoir de vrais BTC depuis le portefeuille de la fédération Liquid. 1435

Près de 4 000 BTC ont ainsi quitté la réserve, soit environ 95 % du solde antérieur du portefeuille, estimé à quelque 4 200 BTC. Les retraits étaient alors valorisés autour de 320 millions de dollars. 1214

Le mécanisme de la faille, simplement

Le L-BTC est censé représenter du bitcoin conservé par la fédération de Liquid. Dans le fonctionnement prévu, des BTC sont verrouillés sur la blockchain Bitcoin et le même montant de L-BTC circule sur Liquid. Un détenteur peut ensuite détruire ou échanger ses L-BTC par un peg-out afin de récupérer des BTC depuis la réserve de la fédération.

D’après les informations publiées sur l’incident, la vulnérabilité a cassé la première partie de ce schéma : elle a permis l’émission de L-BTC dépourvus de garantie en BTC. Les acteurs ont ensuite soumis environ 4 000 L-BTC au service de peg-out de SideSwap. SideSwap a traité l’ordre selon sa procédure d’autorisation normale, a brûlé les L-BTC reçus, puis la fédération a envoyé 3 996 BTC à l’adresse Bitcoin désignée. 3539

La nuance est essentielle : Liquid a affirmé que la clé PAK (Peg-out Authorization Key) de SideSwap avait bien été utilisée lors du retrait, mais qu’elle n’avait pas été compromise — pas plus que les autres clés de la fédération. Le défaut rapporté était en amont : le système ne pouvait pas différencier les L-BTC émis illégitimement des L-BTC valides avant leur remboursement. 3353

Le rôle de SideSwap dans le transfert des fonds

La séquence rapportée est la suivante :

1. Une faille d’Elements a permis l’émission de L-BTC sans réserve BTC correspondante.
2. Les acteurs ont envoyé environ 4 000 L-BTC au service de retrait de SideSwap.
3. SideSwap les a traités comme des fonds clients valides, les a brûlés sur Liquid et a enregistré une autorisation de retrait valide.
4. La fédération Liquid a versé environ 3 996 BTC depuis la réserve Bitcoin à l’adresse du destinataire. 3539

Autrement dit, le mécanisme de retrait a fonctionné comme prévu, mais sur la base d’un actif économiquement invalide. Un parcours de remboursement apparemment ordinaire a transformé un actif de sidechain non garanti en bitcoins détenus dans la réserve sur la chaîne principale.

Messages on-chain et restitution revendiquée par les « white hats »

La personne ou le groupe contrôlant les BTC a communiqué publiquement via des transactions Bitcoin contenant des données OP_RETURN, notamment au moyen d’un message se présentant comme des « whitehats ». Après avoir indiqué que les nœuds de pont avaient été corrigés, Blockstream a répondu par un message on-chain signé en PGP. 745

Les acteurs avaient d’abord déclaré qu’ils rendraient la plus grande partie des fonds après correction de la vulnérabilité. Le 7 septembre, ils ont renvoyé 3 400 BTC à l’adresse de peg de Liquid. Environ 598,5 BTC sont restés à l’adresse qui détenait les fonds — près de 15 % du montant retiré, valorisés à l’époque entre 47 et 48 millions de dollars selon les articles publiés. 4445

L’étiquette de « white hats » doit toutefois être comprise comme leur propre qualification, et non comme une conclusion établie sur le plan juridique ou de la sécurité informatique. La somme conservée a largement été présentée comme une prime implicite ou des frais de découverte, mais les informations disponibles ne font pas état d’un accord de programme de récompense pour bug. 4445

La réponse d’urgence de Liquid et Blockstream

Liquid a notamment désactivé les nœuds de pont et interrompu les nouvelles transactions. Les plateformes d’échange ont été averties de suspendre — ou de se préparer à suspendre — les dépôts et retraits de L-BTC. Le réseau a reconnu que les portefeuilles Liquid seraient affectés pendant les travaux de restauration menés par les membres de la fédération. 123353

Cette suspension a limité de nouvelles opérations via le pont, mais elle a aussi rendu visible le modèle de confiance de Liquid : il s’agit d’un système fédéré, dont les opérateurs peuvent intervenir en situation d’urgence. Cette capacité peut faciliter le confinement d’un incident, mais elle diffère du modèle de consensus sans autorisation de Bitcoin.

Liquid a précisé que les autres actifs émis sur la sidechain, dont l’USDT, DePix et des émissions d’actifs du monde réel (real-world assets, RWA), n’étaient pas directement affectés par cette faille. L’exposition immédiate concernait surtout les détenteurs de L-BTC et les services dépendant de dépôts, retraits ou opérations de peg en L-BTC. 113353

Ce que l’incident révèle sur la garantie des L-BTC

La promesse économique centrale de Liquid est un L-BTC garanti un pour un par des BTC conservés par la fédération. Bitcoin ne fait pas respecter lui-même cette équivalence. Elle dépend de la logique d’émission et de validation de Liquid, des procédures de conservation et de signature de la fédération, ainsi que du bon fonctionnement de l’ensemble du processus de peg-in et de peg-out.

L’incident illustre pourquoi chaque maillon de contrôle est déterminant. Une conservation robuste des fonds ou une autorisation de retrait valide ne suffisent pas lorsqu’une faille d’émission permet à une créance contrefaite d’entrer dans le système. Dès lors que ces L-BTC ont été acceptés au remboursement, ils ont concurrencé les L-BTC légitimes pour une réserve de BTC par définition limitée. 143539

La règle de sécurité est simple dans son principe, mais exigeante dans son application : chaque unité d’un actif enveloppé et remboursable doit disposer d’une garantie vérifiable, et le système de remboursement doit rejeter tout actif dont l’émission ne respecte pas cette règle.

Un symptôme d’un risque plus large pour les infrastructures crypto

L’affaire Liquid ne relève pas du vol classique d’une clé privée. Elle porte plutôt sur la validation logicielle et l’infrastructure de remboursement, une surface d’attaque de plus en plus critique dans l’univers crypto.

CertiK a comptabilisé plus de 1,31 milliard de dollars de pertes sur 344 incidents de sécurité crypto au premier semestre 2026. En excluant la faille exceptionnelle de Bybit de la comparaison avec l’année précédente, son rapport estime que les pertes ont augmenté d’environ 28 % sur un an. 19 CoinGecko a, de son côté, recensé 3,63 milliards de dollars dérobés dans 245 incidents documentés entre janvier 2025 et juillet 2026, les attaques de la chaîne d’approvisionnement, les exploits de smart contracts et les vols de clés figurant parmi les principales causes. 17

La leçon dépasse donc le cas d’une seule sidechain : les systèmes qui font le pont entre des actifs, les enveloppent ou les remboursent doivent vérifier leurs hypothèses de garantie de bout en bout. Une seule défaillance dans la validation de l’émission peut transformer un mécanisme de remboursement pourtant légitime en voie de sortie pour les actifs de réserve.