Piratage du Liquid Network : white hat, black hat ou autre chose ?

​La partie ayant exploité le Liquid Network s’est d’abord identifiée comme un acteur white hat dans un message on-chain. Mais cette appellation n’a pas été acceptée par une grande partie de la communauté Bitcoin. Après qu’environ 4 000 Bitcoin ont quitté le portefeuille de la fédération multisignature qui garantit le Liquid Bitcoin (L-BTC) sur le Liquid Network, cette même partie a restitué 3 400 Bitcoin et conservé environ 598,5 Bitcoin, d’une valeur d’environ 47 millions de dollars au moment du drain, pour son propre compte. La discussion qui a suivi sur Bitcoin Twitter s’est parfois transformée en un débat intense visant à déterminer si ce solde restant constitue une prime de bug, une rançon ou autre chose.

Retour sur les événements

Le 6 septembre, un bug de consensus dans Elements, le logiciel open source qui alimente Liquid, a permis à une partie de créer environ 4 000 L-BTC qui n’étaient garantis par aucun dépôt correspondant sur la blockchain Bitcoin principale. Chainalysis a ensuite décrit cette faille comme un problème dans la manière dont les nœuds Liquid mettaient en cache les vérifications de preuves de plage utilisées par la technologie de protection de la vie privée de Liquid, connue sous le nom de Confidential Transactions. Des données invalides pouvaient être traitées comme un résultat déjà vérifié, ce qui a permis aux attaquants de frapper des L-BTC non garantis.

La Liquid Federation a libéré environ 3 996 Bitcoin vers l’adresse de destination sur la blockchain Bitcoin, car la transaction semblait impliquer la destruction de L-BTC légitimes et valides. Pour être clair, aucune clé de la fédération n’a été volée ou compromise lors de l’attaque. Cela dit, SideSwap a assumé la responsabilité de son propre rôle dans l’incident, car la société n’avait pas mis en place de contrôles de cohérence ni de délais suffisants liés à son système automatisé de peg-out. « C’est cette conception qui a transformé un événement réversible sur Liquid en un paiement irréversible sur Bitcoin », a écrit SideSwap.

Finalement, les hackers ont renvoyé 3 400 Bitcoin à l’adresse de la fédération et conservé le reste. Les discussions entre les deux parties se poursuivent depuis lors au moyen de transactions OP_RETURN publiées sur la blockchain Bitcoin ; toutefois, on ignore actuellement si les hackers renverront davantage de fonds à l’adresse de la fédération après que les négociations publiques sont devenues de plus en plus houleuses.

Le fait que les hackers détiennent toujours près de 600 Bitcoin a suscité un débat sur la manière de qualifier cet incident. Certains utilisateurs de Bitcoin et acteurs du secteur crypto y voient une prime officieuse obtenue après une grave défaillance de sécurité, tandis que d’autres estiment que conserver les coins tout en exigeant un correctif, puis en gardant une part, relève au mieux du grey hat et, au pire, de l’extorsion criminelle.

Les arguments en faveur de la thèse du grey hat

Paul Sztorc, PDG de Layer Two Labs et inventeur des drivechains, a déclaré : « Je pense que le pourboire de 15 % est plutôt raisonnable. » Sans paiement, a-t-il écrit, l’incitation serait de « prendre TOUS les coins immédiatement », de « les MIXER immédiatement » et de « ne contacter personne, jamais ». Il a ensuite ajouté que ce qu’il percevait comme un manque de reconnaissance pour les 3 400 Bitcoin restitués « me semble effectivement assez révoltant ».

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Le cofondateur d’USDT0, Lorenzo Romagnoli, a également partagé des arguments favorables au hacker du Liquid Network lors d’un échange avec Rob Hamilton, PDG d’AnchorWatch. « Il a littéralement rendu 3 400 BTC, vous n’imaginez pas à quel point c’est improbable », a-t-il écrit, ajoutant que « [North Korea] aurait tout ravagé, ça, c’est du black hat ».

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Mark Goodwin, auteur de The Bitcoin-Dollar, a exprimé un sentiment similaire en publiant : « Imaginez que près de 300 millions vous soient rendus par un hacker après que vous et 14 de vos amis n’avez pas réussi à les conserver en sécurité, puis que vous vous en plaigniez ? »

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Pour être clair, aucun acteur important du secteur Bitcoin ne semble aller jusqu’à qualifier cet événement de piratage strictement white hat.

La thèse du black hat

Le camp opposé dans cette discussion s’intéresse davantage au fait que les hackers détiennent toujours 600 Bitcoin issus de l’incident qu’aux 3 400 déjà restitués. Le développeur Bitcoin et auteur de plusieurs Bitcoin Improvement Proposals (BIP), Calvin Kim, a averti que considérer la part de 15 % comme acceptable envoie un message clair. 

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

« Pirater des gens et prendre 15 %. Ce n’est même pas considéré comme du vol ! » a-t-il écrit. « À ce rythme, je ne serais pas surpris que certains soumettent des [pull requests] contenant des vulnérabilités afin de pouvoir pirater et obtenir leurs 15 %. »

Charles Guillemet, directeur technique de Ledger, a qualifié cela d’« extorsion pure et simple ». « Si ces personnes étaient honnêtes, elles auraient contacté Blockstream et expliqué la vulnérabilité à l’équipe de sécurité », a-t-il écrit. « À partir de là, Blockstream aurait décidé de ce qui était le mieux pour Liquid et ses utilisateurs : suspendre le réseau, corriger la vulnérabilité, puis verser une prime au(x) chercheur(s). Tout autre comportement constitue une extorsion. » Dans une publication antérieure, après le retour des 3 400 Bitcoin, il avait également déclaré : « Cela ressemble davantage à de l’extorsion qu’à du piratage white hat ! »

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Hamilton, déjà cité, s’est montré tout aussi direct. « Nous ne savons pas ce que faisaient les communications chiffrées, mais conserver le magot tout en négociant une part n’est pas un comportement white hat », a-t-il écrit en réponse à Sztorc. Lors d’une autre conversation, Hamilton a également souligné que toute cette présentation en termes de white hat venait des attaquants. « Nous n’utiliserions même pas l’expression white hat si l’attaquant n’avait pas commencé par imposer ce cadrage en s’identifiant lui-même comme un white hat. Non merci, je ne vais pas entamer la conversation en acceptant leur cadrage. »

On ne peut pas simplement se qualifier soi-même de « white hat »

Il convient également de noter que l’étiquette autoproclamée de « white hat » pourrait ne pas avoir d’importance devant un tribunal. Alena Vránová, fondatrice de Gart, a écrit qu’exploiter la faille, prendre 4 000 Bitcoin et exiger un correctif constitue une extorsion. « Cela peut entraîner des poursuites pour crime et une longue peine de prison », a-t-elle ajouté. « Aux États-Unis, jusqu’à 20 ans, et les accusations de fraude informatique peuvent alourdir la peine. » Dans des publications ultérieures, elle a décrit les éléments recherchés par les tribunaux, à savoir une demande, une menace de préjudice si la demande n’est pas satisfaite, et l’intention d’obtenir un bien ou un avantage. « Ils ne peuvent pas “prendre ou conserver quelque chose comme prime” », a-t-elle écrit. « S’ils le font, c’est du vol + de l’extorsion + de la fraude. »

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Shinobi, rédacteur technique pseudonyme de Bitcoin Magazine, a avancé un argument similaire après la restitution partielle des fonds drainés. Si la partie avait tout restitué, a-t-il soutenu, une prime aurait peut-être été possible « en toute légalité ». Conserver une part après une négociation publique, a-t-il écrit, les laisse « pris en flagrant délit d’extorsion, littéralement commise au grand jour ».

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Une perte que Liquid aurait du mal à récupérer

Un point quelque peu oublié dans la discussion est que Liquid n’a jamais été une importante source de revenus et a longtemps été moqué pour son utilisation relativement limitée. Ironiquement, lorsqu’un utilisateur de X a demandé combien de temps il faudrait hypothétiquement au Liquid Network pour couvrir le déficit actuel de 600 Bitcoin uniquement grâce aux frais de transaction, Grok a estimé que cela prendrait environ 258 ans.

Cela dit, Blockstream a clairement indiqué qu’il ne paierait pas ce qu’il considère comme une rançon liée au piratage du Liquid Network. Sur X, l’entreprise a déclaré : « Blockstream ne paiera pas de rançon pour récupérer des fonds volés. Prendre des actifs sans autorisation et retenir leur restitution est un crime, pas une divulgation responsable. Ce n’est pas une activité white hat. C’est du vol. »