Le piratage du réseau Liquid n'était pas un vol de clés. Il a exposé le fonctionnement réel des sidechains fédérées de Bitcoin, qui ressemblent à des banques. Ce que signifie le drainage de 320 millions de dollars pour la deuxième couche de BTC.
La sécurité des sidechains Bitcoin est un mythe — Liquid vient de le prouver
Le 6 septembre 2026, quelqu'un est parti avec environ 4 000 bitcoins — soit environ 320 millions de dollars à l'époque — du réseau Liquid (https://liquid.net/), la sidechain phare développée par Blockstream (https://blockstream.com/), l'entreprise fondée par Adam Back, le cryptographe dont Hashcash est cité dans le livre blanc de Bitcoin. Aucune clé privée n'a été volée. Aucun multisignature n'a été craqué. Le voleur a trouvé un bug subtil dans un logiciel, a créé des bitcoins qui n'existaient pas et a vidé 95 % des réserves du réseau en 23 minutes.
Ce n'est pas une faille de sécurité comme la plupart des gens l'imaginent. C'est quelque chose de plus embarrassant : une course aux banques sur un système qui n'était jamais censé en avoir besoin.
Points clés
- La faille Liquid était un bug, pas une intrusion : une collision de cache de preuve d'étendue dans Elements (https://github.com/ElementsProject/elements) a permis à un attaquant de créer des L-BTC non adossés et de les échanger contre environ 4 000 bitcoins réels.
- Liquid est une sidechain fédérée — une multisignature 11 sur 15 gérée par environ quinze entreprises. Il s'agit d'un modèle de confiance, et non de « not your keys, not your coins ».
- L'auto-proclamé « chapeau blanc » a restitué 85 % et a conservé environ 598,5 BTC (~47 millions de dollars) en tant que prime qu'il s'est attribuée, brouillant la frontière entre divulgation et extorsion.
- Blockstream a refusé de payer et mène simultanément un combat contre un SPAC effondré d'une valeur de 4 milliards de dollars et des poursuites liées au minage — tandis que les détenteurs de L-BTC ne peuvent toujours pas les échanger contre des bitcoins sur la chaîne principale.
Que s'est-il réellement passé avec Liquid ?
L'exploitation était élégante par sa simplicité. Liquid fonctionne sur Elements, la base de code open-source maintenue par Blockstream. Une faille dans la manière dont Elements mettait en cache les « preuves d'étendue » — les mathématiques prouvant que le montant d'une transaction confidentielle est légitime — a permis à l'attaquant de frapper des L-BTC sans aucun bitcoin en garantie. Ces jetons falsifiés ont ensuite été acheminés via SideSwap (https://sideswap.io/), une plateforme d'échange détenant une clé d'autorisation de retrait, les convertissant en retraits de bitcoins réels depuis le portefeuille de réserve de la fédération.
La réserve est passée d'environ 4 200 BTC à 197 BTC en moins de trente minutes.
Voici la partie la plus importante : les clés de signature de la fédération n'ont jamais été touchées. Le multisig 11-of-15 — quinze entreprises, y compris des bourses et des market makers, qui doivent approuver conjointement les mouvements — a fonctionné exactement comme prévu. L'échec se situait en amont, dans le code qui indiquait au multisig quoi signer. Un coffre-fort bien construit, alimenté par de mauvaises instructions, s'ouvre tout de même.
L'attaquant a ensuite fait ce qu'on appelle le « truc crypto » : un message OP_RETURN indiquant « nous sommes des whitehats. contactez-nous sur la chaîne », une exigence que Blockstream corrige chaque nœud avant tout retour, et finalement un retour d'environ 3 400 BTC une fois le correctif déployé. Ils ont conservé 598,5 BTC — environ 47 millions de dollars — en tant que frais qu'ils se sont attribués. Lorsque Blockstream a fait preuve d'hésitation, le ton est devenu agressif : « Vous DEVEZ payer 10 % en utilisant vos propres fonds en tant que prime de bug, ou vous causerez une perte de 15 % à tous vos détenteurs. »
Pourquoi s'agit-il d'un échec de confiance et non d'un échec de sécurité ?
La proposition de valeur de Bitcoin est entière : vous n'avez besoin de faire confiance à personne. Vos clés, vos pièces. Puis Bitcoin a heurté un mur : il est lent, coûteux et médiocre en matière de confidentialité, si bien qu'une industrie entière de « couches secondaires » est née pour y remédier — et presque toutes ont discrètement réimporté la confiance.
Liquid est l'exemple le plus pur. Pour l'utiliser, vous déposez des bitcoins dans un portefeuille contrôlé par une fédération de quinze entreprises et recevez des L-BTC en échange. Ces entreprises détiennent vos bitcoins. Votre auto-garde prend fin dès le début du peg. Si la fédération est honnête et que le logiciel est correct, tout fonctionne. Si l'un ou l'autre échoue, vous détenez un reçu d'un cartel de bourses.
Ce n'est pas une sidechain. C'est une banque avec des étapes supplémentaires. Et en septembre, la banque a perdu 95 % de son coffre-fort en 23 minutes — non pas à cause d'un vol, mais parce que son propre logiciel présentait un défaut dans son arithmétique.
Voici la vérité inconfortable que l'attaque met en lumière. Le groupe « not your keys » a passé une décennie à se moquer des échanges et des dépositaires, seulement pour que la société d'infrastructure Bitcoin la plus prominente construise un produit dont tout le modèle de sécurité repose sur « faites confiance à ces quinze entreprises ». Le multisignature n'a pas échoué. La confiance a échoué — la confiance qu'un petit groupe d'entreprises maintiendrait un code incassable, et que le code serait examiné avec autant de soin qu'un coffre-fort de 320 millions de dollars l'exige.
Qui gagne et qui perd ici ?
L'attaquant gagne, pour l'instant : environ 598,5 BTC assis dans un portefeuille que le monde entier peut regarder mais que personne ne peut toucher, tandis que Blockstream plaide pour son retour et menace de recourir à la criminalistique.
Blockstream perd sur le registre de la réputation, même s'il récupère chaque satoshi. C'est la même entreprise qui, selon les rapports, avait été avertie de la vulnérabilité avant l'exploitation par l'équipe Red Team bénévole de Bitcoin — une affirmation que Blockstream conteste, attribuant le bug à ce qu'elle appelle une correction assistée par IA défectueuse. Ce détail, s'il se confirme, est une histoire en soi : la possibilité qu'un outil de codage par IA ait introduit un bug cryptographique dans un coffre-fort de 320 millions de dollars.
Les détenteurs de L-BTC sont les véritables victimes. Plus d'un mois après l'attaque, les peg-outs — la capacité de racheter des L-BTC en vrai bitcoin — restent suspendus. Vous pouvez détenir des L-BTC, mais vous ne pouvez pas facilement retirer votre bitcoin. C'est la définition d'un compte gelé, et cela se produit sur le réseau vendu comme la réponse plus rapide et plus privée de Bitcoin.
L'écosystème plus large perd également quelque chose de plus subtil : le fantasme selon lequel le « Bitcoin L2 » est un problème résolu. Ce n'est pas le cas. Il s'agit d'une série de compromis entre la décentralisation (trustlessness) et l'utilisabilité, et Liquid a simplement évalué ces compromis à 320 millions de dollars.
Cela s'est-il déjà produit ?
Oui — et le modèle est instructif. Le piratage de l'échange Liquid Global en 2021, les exploitations de ponts qui ont saigné le DeFi pendant des années, les vols de ponts Ronin et Wormhole : le thème récurrent n'est pas les clés, mais le code. L'industrie continue de traiter les multisignatures et les fédérations comme la limite de sécurité, alors que la véritable limite est le logiciel qui les alimente.
Ce qui est différent maintenant, c'est la twist du « chapeau blanc ». Vider les fonds d'abord et négocier ensuite — le jeu de rôle drain-then-disclose — devient une tactique répétitive. Le CTO de Ledger, Charles Guillemet, l'a dit clairement : les chercheurs honnêtes divulguent d'abord et laissent l'entreprise décider. Tout le reste est de l'extorsion. L'attaquant de Liquid a fait le contraire et s'attend toujours à être célébré.
Où va la deuxième couche de Bitcoin à partir d'ici ?
La réponse honnête est qu'elle se divise en deux voies. Une voie est à confiance minimisée : des canaux de type Lightning et, à terme, des constructions cryptographiques plus rigoureuses — rollups, preuves de validité — où vous pouvez vérifier plutôt que faire confiance. L'autre voie est le raccourci fédéré : rapide, privé et facile, mais aussi sécurisé qu'une poignée d'entreprises et leur code.
Le hack de Liquid est un vote pour la première voie et un avertissement concernant la seconde. Les sidechains fédérées ne disparaîtront pas — elles sont trop pratiques pour les échanges qui les exploitent — mais leur marketing a besoin d'un avertissement qu'ils n'imprimeront jamais volontairement : « risque de garde inclus. »
Blockstream lui-même fait face à une question plus difficile. Il est simultanément le gardien d'un échec de 320 millions de dollars, le sponsor d'un SPAC de trésorerie de 4 milliards de dollars qui s'est effondré (Cantor réclame désormais des frais de résiliation de 15 millions de dollars), et l'ancien parent d'une opération de minage impliquée dans des procès. L'entreprise qui a enseigné à Bitcoin « ne fais pas confiance, vérifie » demande maintenant au monde de faire confiance qu'elle peut compenser environ 600 bitcoins manquants alors que son propre bilan est sous pression.
Que signifie cela pour les traders ?
La leçon pratique est peu glamour : comprenez ce que vous détenez réellement. Si vous détenez des L-BTC, vous ne détenez pas de bitcoin — vous détenez une créance sur la réserve d'une fédération, et actuellement cette créance est partiellement non adossée et non remboursable. Le peg n'est aussi bon que la volonté et la capacité de la fédération à le compenser.
Plus largement, traitez les affirmations sur les « Bitcoin L2 » avec le même scepticisme que vous appliqueriez à n'importe quel gardien. Demandez où se trouvent les clés. Demandez qui peut geler votre retrait. Demandez si le modèle de sécurité est « vérifie » ou « fais confiance ». La différence entre les deux est approximativement la différence entre détenir du bitcoin et détenir un reçu de banque.
L'incident Liquid n'est pas une raison d'abandonner les couches secondaires. C'est une raison de cesser de prétendre qu'elles sont toutes identiques — et de cesser de prétendre que l'une d'elles est exempte du risque de contrepartie que Bitcoin a été inventé pour éliminer.
La question que personne ne veut répondre
Bitcoin a été conçu pour que vous n'ayez pas à faire confiance à une fédération d'étrangers avec votre argent. Liquid a été créé par la propre entreprise de Bitcoin, et elle a fait exactement cela — puis a perdu 95 % du coffre-fort en moins de trente minutes.
La question n'est pas de savoir si les 598,5 BTC restants reviendront. La question est de savoir si une industrie qui prône « ne faites pas confiance, vérifiez » est disposée à admettre que sa deuxième couche a été un exercice de confiance tout au long — et ce qu'elle compte faire à ce sujet.
FAQ
Qu'est-ce que le Liquid Network ? Liquid est une sidechain Bitcoin fédérée lancée par Blockstream en 2018. Les utilisateurs déposent des bitcoins dans un portefeuille contrôlé par une fédération d'environ quinze entreprises — bourses, market makers et entreprises d'infrastructure — et reçoivent des L-BTC en échange, permettant un règlement plus rapide et plus confidentiel entre les institutions.
Bitcoin lui-même a-t-il été piraté ? Non. La couche de base de Bitcoin n'a jamais été affectée. L'exploitation a eu lieu dans Elements, le logiciel qui fait fonctionner Liquid, et a permis la frappe de L-BTC non adossés. Aucune clé de signature de la fédération n'a été compromise ; la fonction multisig a fonctionné exactement comme prévu.
Combien a été volé, et combien est revenu ? Environ 4 000 BTC (environ 320 millions de dollars à l'époque) ont été drainés de la réserve de la fédération le 6 septembre 2026. L'attaquant a rendu environ 3 400 BTC (85 %) après que Blockstream a corrigé le bug, conservant environ 598,5 BTC (~47 millions de dollars) en tant que prime auto-attribuée. TRM Labs (https://www.trmlabs.com/) l'a classé comme la plus grande cyberattaque crypto de 2026 à ce jour.
Pourquoi les retraits vers l'extérieur sont-ils toujours suspendus ? Blockstream a maintenu la fonction de retrait (peg-out) désactivée tandis qu'un audit indépendant du logiciel Elements corrigé se poursuit. Les détenteurs de L-BTC peuvent effectuer des transactions sur Liquid, mais ne peuvent pas facilement les échanger contre du Bitcoin sur la chaîne principale tant que les réserves ne sont pas entièrement restaurées.
Quelle est la position de Blockstream concernant la « prime » ? Blockstream a rejeté la demande, qualifiant la rétention des fonds de « vol, et non de divulgation responsable », et a indiqué qu'il poursuivrait le recouvrement par le biais des forces de l'ordre, des échanges et de la forensique blockchain plutôt que de payer une rançon pour la restitution des biens volés.