Près de 4 000 BTC ont quitté la réserve de Liquid le 6 septembre via un retrait approuvé par le réseau, alors même que les clés privées utilisées pour l’autoriser n’avaient pas été volées. La reconstitution de TRM Labs indique que les attaquants ont exploité une faille logicielle pour créer des L-BTC sans déposer la quantité correspondante de Bitcoin, puis ont échangé ces jetons non garantis contre de véritables cryptomonnaies. Bitquery a ensuite constaté que 3 400 BTC avaient été restitués le 7 septembre.
Pourquoi c’est important
Liquid conserve des Bitcoin dans une réserve commune, tandis que les utilisateurs reçoivent des L-BTC sur une blockchain distincte. Lorsqu’un logiciel accepte de fausses informations sur l’offre de jetons ou sur la réserve, des signatures valides peuvent autoriser un retrait invalide. L’incident montre que la sécurité des clés empêche une catégorie d’attaques, mais ne peut pas empêcher des systèmes de confiance d’approuver la mauvaise transaction.
La responsabilité financière est moins claire que la défaillance technique. Une assurance peut couvrir les pertes d’actifs numériques d’une entreprise, les attaques visant son infrastructure ou certaines réclamations liées à des erreurs logicielles, mais une police peut protéger l’entreprise sans garantir directement le solde de chaque client. Coinbase indique par exemple que son assurance contre la criminalité couvre une partie de ses actifs numériques et prévient que les pertes totales peuvent dépasser les montants récupérés.
Impact sur le marché
Le déficit de la réserve attire l’attention sur la couverture des L-BTC, les conditions de récupération et l’identité de ceux qui financeront un éventuel écart entre les obligations envers les clients et les indemnités d’assurance. Les cryptomonnaies restituées réduisent le montant encore nécessaire pour reconstituer la réserve, mais l’historique des transactions ne détermine pas qui doit aux clients le solde restant.
Les modalités de remboursement comptent également. Un client auquel est promis un montant fixe en dollars peut recevoir moins de Bitcoin si le prix de l’actif augmente avant le paiement. Les prestataires doivent préciser si la protection signifie un remplacement en cryptomonnaies, un règlement en dollars ou seulement une récupération limitée, ainsi que la manière dont est traité un accès temporairement indisponible.
Questions fréquemment posées
-
Comment les attaquants ont-ils retiré des Bitcoin de la réserve de Liquid ?
Les attaquants ont exploité une faille logicielle pour créer des L-BTC sans déposer les Bitcoin correspondants. Ils ont ensuite échangé ces jetons non garantis contre de véritables cryptomonnaies de la réserve de Liquid.
-
Les clés privées de Liquid ont-elles été volées lors de l’incident ?
Non. Le retrait a été approuvé avec des clés privées qui n’avaient pas été volées, car le logiciel a accepté des informations qui n’auraient pas dû être considérées comme valides.
-
Quelle quantité de Bitcoin a été restituée après l’incident chez Liquid ?
Bitquery a constaté que 3 400 BTC avaient été restitués le 7 septembre. Les cryptomonnaies rendues réduisent le montant nécessaire pour reconstituer la réserve.
-
L’assurance crypto garantit-elle que les clients récupéreront leurs Bitcoin ?
Non. Une police peut couvrir les pertes d’une entreprise ou certaines réclamations sans garantir le solde de chaque client. Les limites de couverture et la structure de la police déterminent le montant récupérable.
-
Pourquoi un versement en dollars peut-il laisser un client avec moins de Bitcoin ?
Si l’indemnisation est fixée en dollars et que le BTC augmente avant le paiement, le versement permet d’acheter moins de cryptomonnaies que le client n’en détenait initialement. L’accord détermine qui supporte ce risque de variation du prix.
CoinDesk
WuBlockchain