Le réseau Liquid a perdu 319 M$ à cause d'un piratage autoproclamé « chapeau blanc » — et la véritable histoire est que l'économie des passerelles de la crypto repose sur du code non corrigé, tandis que l'extorsion est rebrandée en chasse aux primes.
Le piratage « chapeau blanc » de la crypto est une extorsion avec un communiqué de presse
Le 6 septembre 2026, quelqu'un a vidé environ 319 millions de dollars en bitcoin du réseau Liquid — puis a demandé qu'on le remercie pour cela. L'attaquant a émis près de 4 000 jetons adossés au bitcoin à partir d'un bug logiciel, a extrait 95 % des réserves du réseau en moins de quarante minutes, et n'a rendu la majeure partie de l'argent qu'après que Blockstream ait corrigé le code. Les médias crypto ont ressorti leur étiquette favorite : « chapeau blanc ». Ce qui s'est réellement passé est plus ancien et plus laid : un hack crypto « chapeau blanc » qui n'était en réalité que de l'extorsion déguisée en communiqué de presse.
Points clés
- Le réseau Liquid, la chaîne latérale Bitcoin de Blockstream, a perdu environ 4 019 BTC (319 millions de dollars) le 6 septembre 2026 — soit 95 % de sa réserve fédérale — à cause d'un bug logiciel, et non d'une clé volée.
- L'attaquant s'est auto-identifié comme un « chapeau blanc », a rendu environ 85 % (272 millions de dollars) et a conservé 598,5 BTC (environ 47 millions de dollars) — plus que les 10 % de « prime » qu'il avait exigés.
- Une correction pour le bug de cache sous-jacent a été rédigée le 3 août et est restée dans une branche de développement pendant que la production tournait avec un logiciel en retard de cinq mois.
- Blockstream a refusé de payer, a qualifié l'acte de vol et a menacé de faire appel aux forces de l'ordre. Le CTO de Ledger l'a qualifié d'« extorsion, et non de piratage chapeau blanc ».
- 2026 a déjà enregistré un record de 333 incidents de vol de crypto, dont 26 attaques de ponts et de sidechains — contre 3 sur l'ensemble de 2025.
Comment voler $319 million sans toucher à une seule clé ?
Les mécanismes sont importants, car ils brisent la plus ancienne hypothèse de sécurité de la crypto. Liquid est une sidechain Bitcoin fédérée gérée par Blockstream et gouvernée par un multisig 11-of-15 réparti sur plus de 80 plateformes d'échange et bureaux de trading. Les utilisateurs verrouillent des bitcoins pour frapper des L-BTC, puis les rachètent. Le 6 septembre, un attaquant a exploité un bug de collision de cache dans Elements, la base de code open-source qui fait fonctionner Liquid, pour conjurer environ 3,998 L-BTC sans aucun bitcoin réel derrière eux.
Les signataires de la fédération ont ensuite approuvé une demande de peg-out qui semblait tout à fait légitime — car Elements ne pouvait pas distinguer une demande frauduleuse d'une demande réelle. Aucune clé privée n'a été volée. Aucun serveur n'a été compromis. Pas d'ingénierie sociale. Juste une chaîne de logiciels qui a vérifié un mensonge. Du bloc contesté au paiement, il s'est écoulé 36 minutes. La réserve de la fédération est passée d'environ 4,200 BTC à 197 BTC en une seule transaction.
La déclaration de Blockstream elle-même indiquait que la clé d'autorisation de SideSwap « n'avait pas été compromise, pas plus que les autres ». C'est cette phrase qui distingue cet événement de presque tous les piratages de ponts des trois dernières années. Le pont Ronin, Wormhole et le vidage de Bybit étaient tous des histoires de vol de clés. Ici, il s'agissait d'un problème de correction — et la correction est le mode de défaillance dont la crypto est la moins équipée pour parler.
Pourquoi un correctif se trouvait-il dans une branche alors que la production exécutait un code vulnérable ?
Voici le détail qui devrait tenir chaque responsable de conformité institutionnelle éveillé la nuit. Une reconstruction indépendante par DeFiPrime a trouvé qu'un ingénieur de Blockstream a rédigé un correctif liant une clé de cache à l'actif correct le 3 août — cinq semaines avant l'exploitation. Ce changement a été intégré dans la branche de développement le 3 septembre, trois jours avant le déplacement des fonds. La pull request pour l'intégrer dans la branche de version stable a été ouverte le 4 septembre et fusionnée le 6 septembre à 17:21 UTC — moins de trois heures après la confirmation du paiement sur la chaîne.
La version que les membres de la fédération exécutaient réellement en production était la 23.3.3, datée du 13 avril. Elle avait près de cinq mois. Le correctif d'urgence a ensuite été expédié sous le nom Elements v23.3.4.
Voici la vérité peu reluisante sur la sécurité crypto en 2026 : la cryptographie est correcte. Le consensus est correct. Le problème, c’est la discipline de publication — savoir si un correctif déjà rédigé atteint réellement la boîte contenant un milliard de dollars. Aucun module de sécurité matériel, aucun seuil multisig, aucune cérémonie de clés ne détecte cela. Une signature ne vaut rien si l'élément vérifié n’a jamais été vrai dès le départ.
Un "bounty" de $47 million reste-t-il un bounty ?
L'attaquant a intégré "we are whitehats. contact us on chain" dans le champ OP_RETURN d'une transaction Bitcoin, puis a négocié avec Blockstream via des messages chiffrés sur la chaîne, exigeant que chaque nœud soit corrigé avant que les fonds ne soient restitués. Ils ont demandé une récompense de 10 % — environ $40 million — payée depuis le trésor de Blockstream, et ont averti que les "liquidators" pourraient sinon subir des pertes d'environ 15 %.
Après le correctif, ils ont renvoyé environ 3,400 BTC — environ $272 million — et ont conservé 598.5 BTC, soit environ $47 million. C’est plus que les 10 % qu’ils avaient demandés, et environ cinq fois le plus gros bug bounty jamais payé par l'industrie. Le paiement record unique d'Immunefi est de $10 million.
Appelez‑le comme vous voulez. Un bug bounty légitime ne commence pas par vider 95 pour cent d’un portefeuille de réserve, et ne se termine pas avec le \"researcher\" gardant une part plus grande que le chiffre qu’il a cité. La séquence — prendre tout, le prendre en otage, dicter le calendrier de remédiation, rendre la plupart mais pas tout — n’est pas de la recherche en sécurité. C’est une négociation de rançon où le kidnappeur a pu écrire sa propre entrée Wikipedia.
Et l’industrie elle‑même le sait. Blockstream a refusé de payer et a déclaré que prendre des actifs sans permission et refuser de les rendre \"constitue un vol, pas une divulgation responsable de vulnérabilité,\" promettant de travailler avec les forces de l’ordre et la criminalistique blockchain. Le CTO de Ledger, Charles Guillemet, a été plus direct : \"Si cela avait jamais été une récompense négociée... cela ressemble plus à de l’extorsion qu’à du hacking white‑hat.\"
Pourtant le titre par défaut était encore \"white hats saved the network.\" C’est la partie la plus dangereuse de cette histoire. Nous avons maintenant enseigné à une génération d’attaquants que l’exploitation optimale est : voler tout, revendiquer un badge white‑hat, garder une part, et laisser l’équipe RP de la victime faire le reste.
Pourquoi les ponts et les sidechains sont‑ils soudainement le point faible ?
Liquid n’est pas un cas isolé. C’est le sommet d’une tendance. TRM Labs compte environ $1.73 billion volés lors de 333 incidents en 2026 jusqu’à présent — un nombre record d’incidents, même si le butin moyen diminue. Vingt‑six de ces attaques ont visé des ponts inter‑chaînes et des outils d’interopérabilité, contre trois en 2025. La même semaine que Liquid, Symbiosis a perdu $336,000 à cause d’une exploitation de pont qui a créé 46 milliards de faux jetons syBTC — plus de 2 000 fois l’offre réelle de Bitcoin — et Nomic a perdu $3.1 million à une frappe inter‑chaîne non adossée.
Le schéma est indéniable. Les spectaculaires braquages de ponts d’un demi‑milliard de dollars de 2022 ont cédé la place à une bruine constante d’exploits plus petits, à l’échelle industrielle, de frappes non adossées. C’est sans doute pire. Un événement catastrophique déclenche une crise et une solution. Mille petites fuites normalisent le saignement. Et toutes convergent vers la même vérité architecturale : chaque sidechain, bridge et synthetic-bitcoin wrapper repose sur l’hypothèse que les pegged tokens sont toujours entièrement collatéralisés. Liquid vient de prouver que cette hypothèse n’est qu’un bug de cache loin de la fiction.
Qui gagne et qui perd ?
Les perdants sont évidents. La réputation de Blockstream en tant qu'infrastructure de niveau custodial a subi un coup direct, et les plus de 80 membres de la fédération ont appris que leur multisig ne les protégeait pas de la défaillance qui s'est réellement produite. La thèse institutionnelle plus large — selon laquelle le bitcoin peut être enveloppé, ponté et tokenisé dans la finance traditionnelle en tant que collatéral de premier ordre — a reçu un coup sourd. Liquid détenait environ $5 milliards de valeur à travers des bons du Trésor américain tokenisés, de la dette d'entreprise et d'autres actifs du monde réel. Si la plomberie qui déplace la valeur plus vite que la chaîne de base continue de fuir, le récit du « bitcoin comme collatéral » qui sous-tend les stablecoins bancaires et le règlement tokenisé commence à paraître fragile.
Les gagnants sont plus sombres. Celui qui a pris $47 millions, évidemment. Mais aussi la petite armée de bots MEV et de contre-hackers qui rodent désormais autour de ces exploits — la semaine suivant Liquid, un bot nommé Yoink a volé $7.8 millions à un hacker qui les avait volés en premier. Nous construisons un écosystème où la seule défense fiable est un autre prédateur. Ce n'est pas de la résilience. C'est une chaîne alimentaire.
N'avons-nous pas déjà vu ce film ?
Nous l'avons fait, et nous continuons à nous raconter la mauvaise leçon. Le piratage du DAO en 2016 et la saison des ponts de 2022 — les $625 millions de Ronin, les $320 millions de Wormhole — ont tous produit le même rituel : choc, correctif, post-mortem, et le vœu que de meilleurs services de garde et multisig seraient la réponse. Liquid est le premier exploit majeur à montrer que la garde n'était jamais la vraie question. Le piratage du DAO a tué un fonds. Les vols de ponts ont tué la confiance naïve dans le code inter-chaînes. Liquid tue une illusion plus subtile : celle selon laquelle une fédération d'entreprises prudentes et bien intentionnées est significativement plus sûre qu'un contrat intelligent, alors que les deux ne sont aussi bons que le pipeline de publication qui les sous-tend.
Ce qui est différent maintenant, c'est l'audience. L'argent qui circule sur ces rails n'est plus le capital degen du retail. C'est le substrat institutionnel d'une classe d'actifs de plusieurs billions de dollars — 21 banques construisant un stablecoin dollar, Citi réglant des paiements transfrontaliers tokenisés, le Wyoming tokenisant un stablecoin d'État. Les personnes qui dépendent désormais d'une infrastructure « fédérée » et « pontée » sont exactement celles qui ne peuvent pas se permettre le taux de réduction des white-hats.
Où en sera-t-on dans trois ans ?
Attendez-vous à trois choses. Premièrement, un marché réel pour l'assurance des ponts et les primes de sécurité en tant que service, car les entreprises devront évaluer ce risque de la même manière que les compagnies aériennes évaluent la panne de moteur — de façon actuarielle, et non par simple espoir. Deuxièmement, un règlement de comptes réglementaire et juridique. Lorsqu'un « chapeau blanc » conserve 47 millions de dollars et les blanchit via des CoinJoins, un procureur finira par demander pourquoi personne n'a déposé de Rapport d'Activité Suspecte pour un transfert non autorisé de 320 millions de dollars, et la défense du « c'était une prime de sécurité » s'effondrera dans une salle d'audience. Troisièmement, une bifurcation : le bitcoin qui reste sur la chaîne de base — lent, coûteux, sécuritaire de manière ennuyeuse — par opposition au bitcoin qui circule à travers des couches d'encapsulation, rapide, bon marché et structurellement fuyard. Les institutions devront décider lequel des deux elles veulent réellement sur leur bilan.
Quelle est l'analyse stratégique pour les traders ?
Aucune prédiction de prix. Le signal se trouve dans la plomberie. L'infrastructure qui repose sur des multisigs fédérés et des pegs pontés présente un mode de défaillance récurrent et quantifiable — et le marché n'évalue pas encore la différence entre un actif réglé de manière native et une représentation encapsulée de celui-ci. Observez où se dirigent les dollars de la garde institutionnelle. Les entreprises qui pourront prouver leur pipeline de libération — pas leur gestion des clés, leur pipeline de libération — commanditeront une prime. Celles qui exécutent encore le code d'avril contre un portefeuille d'un milliard de dollars ne le feront pas. Et considérez chaque titre « le chapeau blanc a restitué les fonds » comme un signal d'alarme, et non comme un soulagement : cela signifie qu'un acteur hostile détenait de l'argent réel et a choisi les conditions.
Voici la question que personne ne veut répondre : si un cambrioleur vidait votre coffre-fort, vous renvoyait 85 pour cent et vous demandait de l'appeler consultant en sécurité, signeriez-vous le communiqué de presse ? Le crypto vient de le faire. Et tant que nous continuerons à payer les attaquants pour qu'ils soient des héros, nous continuerons à obtenir exactement les héros pour lesquels nous avons payé.
FAQ
Le piratage du Liquid Network était-il une attaque par clé volée ?
Non. Blockstream a confirmé que la clé d'autorisation SideSwap utilisée lors du retrait n'a jamais été compromise. L'attaquant a exploité un bug de collision de cache dans Elements, le logiciel de validation de Liquid, pour créer environ 3,998 L-BTC non adossés et les échanger contre du vrai bitcoin.
Combien l'attaquant a-t-il conservé ?
Environ 598.5 BTC, soit environ $47 million, ou autour de 15% des ~$319 million drainés. L'attaquant a rendu environ 3,400 BTC (~$272 million, soit environ 85%) après que Blockstream ait déployé le correctif.
Une correction existait-elle déjà avant l'attaque ?
Oui. Une reconstruction indépendante a découvert qu'un correctif de clé de cache connexe avait été rédigé August 3, 2026 et fusionné dans la branche de développement September 3 — mais la production utilisait la version 23.3.3 depuis April 13, cinq mois de retard.
Le statut « white hat » est-il légal ou officiel dans le domaine des cryptomonnaies ?
Non. Il s'agit d'une étiquette auto-attribuée, dépourvue de valeur juridique. Contrairement à une prime pour signalement de vulnérabilité préautorisée, l'attaquant de Liquid a d'abord pris les fonds, puis les a restitués sous condition, ce que les tribunaux et les forces de l'ordre peuvent considérer comme un vol ou un chantage, indépendamment de l'étiquette. Blockstream a déclaré qu'elle poursuivrait la récupération des fonds restants.
Pourquoi les ponts et les chaînes latérales sont-ils de plus en plus visés en 2026 ?
Ils concentrent la liquidité et reposent sur un code complexe qui vérifie les épinglages et les preuves. TRM Labs recense 26 attaques contre des ponts et des systèmes d'interopérabilité en 2026 à ce jour, contre 3 en 2025, alors que les attaquants passent du vol de clés à l'exploitation de frappes non adossées.
Lecture complémentaire : liquid.net, blockstream.com, trmlabs.com, slowmist.com.