Blockstream, a annoncé qu’environ 4 000 BTC, soit 95 % de la réserve qui adosse son jeton L-BTC, avaient été retirés de son portefeuille fédéré. Une somme de près de 320 millions de dollars, revendiquée par ses auteurs comme une opération « white hat », mais dont la légitimité est loin de faire consensus.
Ce qui s’est passé
Dimanche 6 septembre, en fin de matinée (heure de New York), Liquid Network a publié un message sur X annonçant qu’une transaction avait vidé la quasi-totalité de la réserve de bitcoins garantissant son jeton L-BTC. Concrètement, le portefeuille fédéré — celui qui détient les BTC déposés en contrepartie des L-BTC en circulation sur la sidechain — est passé d’environ 4 200 BTC à un peu plus de 200 BTC. Entre 3 996 et un peu plus de 4 000 bitcoins ont ainsi quitté la réserve, selon les sources.
Liquid a immédiatement suspendu les transactions sur son réseau et demandé aux plateformes d’échange de bloquer les dépôts et retraits de L-BTC, le temps de comprendre l’ampleur de la faille. Selon les explications données par le réseau, les fonds seraient sortis via SideSwap, une plateforme de règlement autorisée à traiter des retraits sur le réseau — la clé utilisée dans le processus n’aurait, elle, pas été compromise. Un message on-chain (au format OP_RETURN) attribué aux auteurs du retrait affirmait : « nous sommes des white hats, contactez-nous en chaîne. »
Pour l’instant, l’essentiel des fonds n’a pas été dispersé ni blanchi, ce qui nourrit deux lectures possibles : celle d’un sauvetage préventif en vue d’une restitution négociée, ou celle d’un exploit suivi d’une tentative de marchandage.
Comment fonctionne Liquid — et où le système a craqué
Liquid est une sidechain de Bitcoin, développée avec le soutien technique de Blockstream depuis 2018. Elle permet des transactions plus rapides et confidentielles que la chaîne Bitcoin elle-même, ainsi que l’émission d’actifs numériques (stablecoins, titres tokenisés, etc.). Son fonctionnement repose sur un principe de peg : chaque L-BTC en circulation doit être adossé à un bitcoin réel, verrouillé dans un portefeuille contrôlé collectivement par une Fédération de quinze entités.
En théorie, faire sortir des fonds de ce portefeuille exige une majorité qualifiée de onze signatures sur quinze, complétée par des clés d’autorisation dites PAK (peg-out authorization keys). C’est précisément ce mécanisme de consensus multi-signatures qui aurait été détourné ou exploité — les détails techniques exacts de la faille restent flous à l’heure où nous écrivons ces lignes.
Un « white hat » qui ne dit pas son nom
L’étiquette de « chapeau blanc » — un hacker qui exploite une faille pour la révéler et la corriger, sans intention malveillante — est loin de convaincre tout le monde. Charles Guillemet, directeur technique de Ledger, a publiquement mis en doute cette version : un chercheur en sécurité prévient en général le protocole concerné avant de déplacer plusieurs centaines de millions de dollars de collatéral, pas après. Il a comparé l’incident au hack du pont Ronin en 2022, où des attaquants avaient également tenté, sans succès, de se faire passer pour des acteurs bienveillants après coup.
Blockstream, de son côté, a choisi la prudence dans ses communications, évitant le mot « vol » et cherchant activement à établir un contact avec les auteurs du retrait via des transactions on-chain — une forme de négociation à distance, sans certitude sur son issue.
Pourquoi cet épisode compte
Sur le plan strictement technique, ce hack ne remet pas en cause la sécurité du protocole Bitcoin lui-même. Liquid est une sidechain fédérée, un système annexe qui repose sur la confiance envers un groupe restreint de signataires — une architecture fondamentalement différente du consensus décentralisé et permissionless de la chaîne principale. C’est là tout l’enjeu : l’incident illustre le prix à payer pour les compromis de confiance qu’impose toute solution de scalabilité ou d’interopérabilité construite « à côté » de Bitcoin, plutôt que dessus.
Le montant en jeu est loin d’être anecdotique. Il dépasse à lui seul le total cumulé des pertes liées aux piratages DeFi sur l’ensemble du mois d’août 2026, où l’un des trackers du secteur recensait environ 136 à 140 millions de dollars de pertes sur une cinquantaine d’incidents distincts, le plus important d’entre eux — l’exploit Tectonic sur Cronos — représentant environ 74 millions de dollars. En une seule transaction, l’incident Liquid dépasse ainsi de plus du double le total mensuel d’août, et éclipse plus de quatre fois son plus gros incident individuel.
L’impact reste toutefois circonscrit : seul le peg L-BTC est directement touché, pas les autres actifs émis sur Liquid ni, a fortiori, le réseau Bitcoin. Un gel qui aurait aussi affecté les stablecoins ou les actifs tokenisés hébergés sur la sidechain aurait représenté un risque de contagion nettement plus large pour les exchanges et teneurs de marché qui s’appuient sur Liquid pour leurs règlements.
Un contexte plus large : la mode douteuse du « white hat » a posteriori
L’épisode Liquid s’inscrit dans une tendance observée à plusieurs reprises en 2026 : des attaquants siphonnent des fonds, puis publient un message on-chain revendiquant une intention bienveillante, avant d’attendre la réaction du protocole et du public pour décider de restituer — ou non — les sommes détournées. Ce schéma est parfois authentique : un chercheur déplace des fonds vers une adresse sûre pour empêcher qu’un second attaquant n’exploite la même faille, avant de négocier une prime (bug bounty) et de rendre l’essentiel des fonds. Mais il sert aussi, de plus en plus souvent, de couverture a posteriori à des vols assumés, le flou entretenu permettant de gagner du temps face aux autorités et aux victimes.
Et maintenant ?
À l’heure actuelle, plusieurs questions restent ouvertes :
- La restitution des fonds : Blockstream tente de négocier via des messages on-chain, mais aucune garantie n’existe qu’un accord soit trouvé, ni sur le calendrier.
- L’origine exacte de la faille : s’agit-il d’une faille dans la logique de signature de la Fédération, d’une compromission de clés, ou d’un abus de la procédure de retrait via SideSwap ? Blockstream n’a pas encore publié d’analyse post-mortem détaillée.
- La reprise du réseau : les dépôts et retraits de L-BTC restent suspendus sur les plateformes partenaires, ce qui gèle de facto une partie de l’activité économique construite sur Liquid (règlements, stablecoins, actifs tokenisés).
- Les conséquences pour la confiance dans les sidechains fédérées : au-delà de Liquid, cet épisode relance le débat sur les compromis de sécurité qu’impliquent les architectures « fédérées », par opposition aux solutions qui héritent directement de la sécurité de la chaîne Bitcoin, comme le Lightning Network.
Une chose est sûre : dans un marché où Bitcoin évoluait justement sur une dynamique positive, les ETF spot américains venaient d’enregistrer leur meilleure semaine d’entrées nettes de l’année , cet incident rappelle que la sécurité des couches périphériques reste le maillon faible de l’écosystème, quand bien même le protocole Bitcoin lui-même n’a, une fois de plus, montré aucune faille.
Article rédigé à partir des informations disponibles au 7 septembre 2026 ; la situation étant encore en cours d’investigation, certains éléments pourront évoluer.
En savoir plus sur ZoneBitcoin
Subscribe to get the latest posts sent to your email.
