Liquid Network piraté : 4 000 bitcoins envolés, 3 400 rendus

Le samedi 6 septembre, entre 13 h 53 et 14 h 28 UTC, environ 4 000 bitcoins ont quitté le portefeuille de la fédération du Liquid Network, la sidechain bitcoin de Blockstream. Au cours du moment, cela représentait 319 millions de dollars, soit près de 274 millions d'euros ; selon TRM Labs, le plus gros piratage crypto de 2026 à ce jour. Le lendemain, les attaquants ont renvoyé 3 400 BTC. Les 598,5 BTC restants, environ 47 millions de dollars ou 40 millions d'euros, sont toujours entre leurs mains. Liquid est à l'arrêt depuis.

Comment l'attaque a fonctionné

Liquid est une sidechain : vous envoyez des bitcoins vers un portefeuille géré par une fédération d'entreprises et vous recevez en échange des L-BTC sur la sidechain, un pour un. Le logiciel qui valide la sidechain s'appelle Elements. C'est là que se trouvait la faille : un bug dans le cache des range proofs laissait passer des sorties de transaction invalides comme vérifiées. Les attaquants ont ainsi créé environ 4 000 L-BTC sans aucun bitcoin en face.

Ils ont ensuite présenté ces L-BTC sans contrepartie au rachat via SideSwap, un opérateur de peg-out agréé. La fédération fonctionne avec un multisig 11 sur 15. Elle a signé le paiement, parce qu'Elements considérait comme valide la chaîne contenant les L-BTC non adossés. En 36 minutes, le portefeuille de la fédération est passé d'environ 4 200 à un peu plus de 200 BTC. Blockstream affirme qu'aucune de ses clés n'a été compromise, et SideSwap confirme que les L-BTC non adossés provenaient d'un bug d'Elements. Il ne s'agit donc pas d'un mot de passe volé, mais d'une faille dans le code auquel toute la chaîne faisait confiance.

Des chapeaux blancs, avec une prime qu'ils se sont fixée eux-mêmes

Les attaquants ont laissé un message sur la chaîne : ils sont des white hats, contactez-nous on-chain, et corrigez d'abord le bug, car chaque nœud sur le dernier commit est en danger. Le 7 septembre a suivi le retour de 3 400 BTC, soit 85 % du butin.

Tout le monde n'y croit pas. Charles Guillemet, CTO de Ledger, a comparé l'affaire au piratage de Ronin : prendre l'argent d'abord et négocier ensuite n'est pas une divulgation responsable. Samson Mow, ancien CSO de Blockstream, a relevé que la demande de contact ne venait pas de l'adresse qui détenait les bitcoins. Et les 598,5 BTC conservés, 15 %, sont une récompense que les attaquants se sont attribuée eux-mêmes ; Blockstream n'a proposé aucune prime de cette ampleur. TRM Labs a étiqueté les adresses et suit les 47 millions de dollars.

Ce que cela signifie si vous détenez des L-BTC

Trois choses sont certaines au 9 septembre. Le réseau est en pause, les exchanges n'ont pas repris les échanges de L-BTC et la conversion vers le bitcoin est suspendue. La fédération n'a pas encore annoncé de conditions de reprise.

Le calcul de TRM Labs est le cœur du sujet : il reste environ 3 597 BTC en réserve pour environ 4 200 L-BTC en circulation. Cela représente une couverture d'environ 86 %. Tant que les 598,5 BTC ne reviennent pas ou que Blockstream ne comble pas lui-même le trou, tous les L-BTC ne sont plus entièrement adossés. Les autres actifs sur Liquid, comme l'USDT et les titres tokenisés, n'ont pas été touchés selon les premiers rapports.

Quiconque détient des bitcoins sur la chaîne principale, dans son propre wallet ou sur un exchange, n'est pas concerné. Le bug était dans Elements, pas dans Bitcoin Core.

Le marché a à peine réagi

Le bitcoin a clôturé le 8 septembre à 78 475 dollars, en baisse de 0,9 %. The Motley Fool a cité le piratage parmi les raisons, à côté d'une probabilité de plus de 60 % de hausse des taux de la Fed selon CME FedWatch et des frappes américano-iraniennes qui maintiennent le pétrole au-dessus de 100 dollars le baril. Sur le mois, le bitcoin reste en hausse de plus de 20 %.

Ce qu'il faut en retenir

Une sidechain est un accord : vous confiez vos bitcoins à une fédération et vous faites confiance à son logiciel et à ses signatures. Ce n'est pas la même chose que des bitcoins dans un wallet dont vous détenez les clés. L'inconvénient de l'auto-conservation, c'est que chaque erreur est la vôtre ; l'inconvénient de la délégation, c'est que le bug d'un autre devient le vôtre. Liquid tourne depuis 2018, avec Blockstream derrière et un multisig à quinze parties, et cela n'a pas suffi quand le code de validation lui-même a menti.

Cela s'inscrit dans le schéma que nous décrivions en juin : les piratages sont plus rares, mais font plus de dégâts. Après Coinsbuy en août et les comptes détournés dans la DeFi, c'est la troisième couche à céder : ni l'utilisateur, ni le dépositaire, mais la chaîne elle-même.

Ce n'est pas un conseil d'éviter les L-BTC ou Liquid, mais une raison de décider, montant par montant, quel risque vous préférez porter : celui de votre propre seed, ou celui d'une fédération.

Sources : TRM Labs, « 2026's Biggest Hack To Date: Attackers Drained USD 319 Million in Bitcoin From Liquid Network » (8 septembre 2026) ; Yahoo Finance, « Blockstream's Liquid Network Drained 4000 Bitcoin by Alleged White Hat Hackers » (7 septembre 2026) ; The Motley Fool, « Crypto Market Today, Sept. 8 » (8 septembre 2026). Montants en dollars convertis au taux de référence de la BCE du 8 septembre 2026 (0,861 euro par dollar). Dernière vérification : 9 septembre 2026.