Appel à des délais de retrait obligatoires pour les ponts Bitcoin
Sergio Lerner, co-fondateur de Rootstock, a appelé les ponts Bitcoin à adopter des délais de retrait obligatoires après qu’environ 4 000 BTC aient quitté le portefeuille fédéral de Liquid Network par le biais d’un peg-out non autorisé. Lerner, qui est également scientifique en chef chez Rootstock Labs, a déclaré à crypto.news que le règlement immédiat peut transformer une simple erreur de validation en perte totale avant que les opérateurs de pont aient le temps de réagir.
« Sans un verrou de délai, une seule erreur de validation et une perte totale deviennent le même événement, car les fonds se déplacent au moment où le logiciel dit ‘oui’, » a-t-il expliqué.
Incident de peg-out non autorisé
Ses commentaires font suite à un incident où des acteurs ont créé des L-BTC non garantis et ont utilisé le service de peg-out de SideSwap pour retirer près de 4 000 BTC du portefeuille de la Fédération Liquid. Liquid a qualifié ces acteurs de prétendus hackers éthiques, tandis que SideSwap a affirmé que son service avait traité la demande car les L-BTC semblaient valides.
Les acteurs ont ensuite retourné 3 400 BTC après que Blockstream ait confirmé que les nœuds de pont affectés avaient été corrigés. Environ 598 BTC restaient en suspens, tandis que Liquid a repris la production de blocs sans restaurer les transactions ou les opérations de peg au 10 septembre.
Proposition de Lerner pour un système de délai
Lerner a déclaré qu’un délai obligatoire entre la création des L-BTC non garantis et la libération des BTC réels aurait pu réduire les dommages. Dans un tel système, l’approbation du logiciel déclencherait une période d’attente plutôt que de compléter le retrait. Des outils de surveillance automatisés pourraient comparer le peg-out demandé avec le BTC soutenant les L-BTC et signaler tout déséquilibre avant le règlement.
« Si Liquid avait eu un verrou de délai – où les fonds ne peuvent pas bouger pendant une période spécifiée, peu importe ce que dit le logiciel ou les opérateurs – le bug aurait entraîné un incident gérable plutôt qu’une catastrophe immédiate et à grande échelle, » a-t-il ajouté.
Fonctionnement du système de Rootstock
Rootstock utilise déjà un mécanisme de délai pour les retraits de BTC via son peg bidirectionnel, bien que les règles de consensus de Bitcoin n’imposent pas cette période d’attente. Le système repose sur des modules de sécurité matériels spécialisés appelés PowHSMs. Avant de signer un peg-out, ces dispositifs vérifient indépendamment que 4 000 blocs Rootstock ont été validés, représentant environ 36 heures de preuve de travail cumulative.
Les clés privées restent à l’intérieur des dispositifs, selon Lerner, et les fonctionnaires ne peuvent pas demander au matériel de contourner la période requise. Rootstock combine les règles HSM avec le merge-mining, par lequel les mineurs de Bitcoin contribuent à la preuve de travail de la sidechain.
« Même une majorité collusive de pegnatories ne peut pas voler les fonds, car les clés privées ne quittent jamais les PowHSMs, et les HSMs vérifient indépendamment que 4 000 blocs Rootstock se sont écoulés avant qu’ils ne signent, » a déclaré Lerner.
Contrôles de révocation et sécurité
Lerner a déclaré qu’aucune entreprise, opérateur ou administrateur unique ne devrait contrôler le mécanisme de révocation. Au lieu de cela, des fonctionnaires indépendants devraient partager l’autorité à travers une structure multipartite, avec des règles matérielles limitant ce qu’ils peuvent faire.
Dans son modèle proposé, les fonctionnaires pourraient mettre en pause le traitement, mais ne pourraient pas rediriger les BTC vers une autre adresse ou les confisquer.
« Pour éviter les points de défaillance uniques ou la censure centralisée, les contrôles de révocation devraient être distribués parmi des fonctionnaires indépendants et multipartites utilisant des règles renforcées par le matériel plutôt que des clés administratives centralisées, » a-t-il ajouté.
Conclusion et perspectives d’avenir
Lerner a cité le BIP-443, une proposition de brouillon pour un opcode appelé OP_CHECKCONTRACTVERIFY, comme un élément de construction possible pour améliorer la sécurité des retraits. Cette proposition permettrait à une sortie Bitcoin de transporter des données et de restreindre la manière dont ses fonds peuvent se déplacer à travers des transactions futures.
Déplacer le mécanisme dans le consensus Bitcoin réduirait la dépendance aux politiques HSM spécifiques aux ponts, selon Lerner. Pour les retraits de pont importants, il a déclaré que le délai devrait durer suffisamment longtemps pour que des alertes automatisées et des opérateurs humains puissent identifier le problème, arrêter le traitement et examiner le logiciel affecté avant que les BTC ne deviennent définitivement dépensables par le destinataire.
