Le piratage Liquid Network reste le plus lourd de 2026 à ce jour. Le 6 septembre, un attaquant a vidé environ 4000 bitcoins de ce sidechain conçu par Blockstream, soit près de 319 millions de dollars au cours du moment. La suite a surpris tout le monde : la majeure partie des fonds a été rendue quelques heures plus tard.
Ce qui s'est passé le 6 septembre
L'attaque a débuté à 13h53 UTC, au bloc 4 050 336. Le problème ne venait pas de clés volées. Il venait d'une faille logicielle dans Elements, le logiciel qui valide les transactions de Liquid. Une preuve de montant a été acceptée comme déjà vérifiée alors qu'elle ne l'était pas. Résultat : 4000 jetons L-BTC ont été créés sans aucun bitcoin en garantie.
Ces jetons fictifs ont ensuite été retirés en 36 minutes, via un opérateur agréé du réseau. La fédération qui garde les fonds valide chaque sortie avec un schéma multisignature 11 sur 15. Elle a approuvé la transaction, car le logiciel présentait l'état de la chaîne comme valide. La confiance placée dans le code a donc suffi à faire passer des fonds inexistants pour réels.
Un vol rendu à 85 pour cent
Peu après, l'auteur du vol a communiqué directement sur la chaîne. Il affirme être un « white hat », un pirate qui teste une faille pour la signaler. Il a rendu environ 3400 bitcoins, soit à peu près 272 millions de dollars. Cela représente 85 pour cent du butin. Il a toutefois conservé près de 598 bitcoins, environ 47 millions de dollars, présentés comme une « commission ». Cette version du bon samaritain reste invérifiée.
| Élément | Chiffre |
|---|---|
| Bitcoins détournés | environ 4000 (319 millions de dollars) |
| Bitcoins rendus | environ 3400 (272 millions, 85 pour cent) |
| Somme conservée | environ 598 (47 millions de dollars) |
| Durée du retrait | 36 minutes |
La leçon pour un détenteur en France
Le piratage Liquid Network vise un maillon précis : la couche qui relie les plateformes entre elles. Liquid est un réseau fédéré, pensé pour des échanges rapides entre plateformes. Sa sécurité repose sur un groupe d'opérateurs et sur leur code, pas sur vos propres clés. Un bug dans ce code peut donc toucher tout le monde à la fois. C'est la différence de fond avec la détention directe, où vous seul signez vos transactions.
Cet épisode prolonge une tendance nette de l'année. Comme le montrent les piratages recensés dans la DeFi en 2026, les failles visent désormais la logique des programmes plus que le chiffrement. Le gel rapide vu chez Cronos après son exploit à 75 millions avait déjà illustré ces limites. Pour réduire ce risque de contrepartie, la piste reste la même : privilégier la détention par portefeuille matériel pour les sommes que vous ne tradez pas.