Le Liquid Network<\/strong> est sur le point de restaurer les op\u00e9rations de retrait apr\u00e8s avoir lanc\u00e9 un audit de s\u00e9curit\u00e9 ind\u00e9pendant d’Elements v23.3.4<\/strong> et coordonn\u00e9 des modifications des cl\u00e9s d’autorisation utilis\u00e9es dans le processus de retrait. Dans sa mise \u00e0 jour de l’\u00e9cosyst\u00e8me du 28 septembre<\/strong>, le Liquid Network a annonc\u00e9 que l’audit de s\u00e9curit\u00e9 externe d’Elements v23.3.4 est d\u00e9sormais en cours, dans le cadre de ses efforts pour restaurer en toute s\u00e9curit\u00e9 les retraits suite \u00e0 l’incident de s\u00e9curit\u00e9 survenu en septembre.<\/p>\n Un audit de s\u00e9curit\u00e9 externe ind\u00e9pendant d’Elements v23.3.4 est en cours, fournissant une couche de validation suppl\u00e9mentaire alors que nous travaillons \u00e0 la restauration s\u00e9curis\u00e9e des retraits. Parall\u00e8lement, la Liquid Federation<\/strong> met \u00e0 jour sa liste de Cl\u00e9s d’Autorisation de Retrait (PAK)<\/strong>. Les entr\u00e9es existantes sont remplac\u00e9es et la f\u00e9d\u00e9ration s’efforce de s’assurer que toutes les cl\u00e9s de r\u00e9ception de Bitcoin associ\u00e9es aux retraits sont correctement s\u00e9curis\u00e9es dans un stockage \u00e0 froid. Liquid n’a pas fourni de date pour le red\u00e9marrage des retraits. Le r\u00e9seau a d\u00e9clar\u00e9 que l’audit et les modifications des PAK sont des \u00e9tapes vers la reprise des op\u00e9rations de retrait s\u00e9curis\u00e9es, avec une autre mise \u00e0 jour sur le processus de restauration attendue sous peu.<\/p>\n Elements v23.3.4 a \u00e9t\u00e9 publi\u00e9 plus t\u00f4t ce mois-ci pour corriger le d\u00e9faut logiciel exploit\u00e9 lors de l’incident du 6 septembre<\/strong>, lorsque un attaquant a cr\u00e9\u00e9 environ 4 000 LBTC<\/strong> non soutenus et a utilis\u00e9 le processus normal de retrait de Liquid pour retirer des Bitcoins de la r\u00e9serve de la f\u00e9d\u00e9ration.<\/p>\n<\/blockquote>\n Le dernier audit externe ajoute une r\u00e9vision suppl\u00e9mentaire de cette version avant que les retraits ne soient r\u00e9activ\u00e9s. Elements est la plateforme blockchain open source derri\u00e8re Liquid. Le r\u00e9seau utilise des transactions confidentielles, qui cachent les montants des transactions, tandis que des preuves cryptographiques permettent aux n\u0153uds de v\u00e9rifier que ces montants sont valides.<\/p>\n L’\u00e9valuation post-incident de Liquid a d\u00e9clar\u00e9 que la vuln\u00e9rabilit\u00e9 concernait la mani\u00e8re dont Elements mettait en cache les r\u00e9sultats de la v\u00e9rification des preuves de plage. Un changement ant\u00e9rieur avait supprim\u00e9 certains contextes de transaction de la cl\u00e9 de cache, cr\u00e9ant un d\u00e9faut de consensus qui pouvait permettre \u00e0 un r\u00e9sultat de v\u00e9rification mis en cache d’\u00eatre r\u00e9utilis\u00e9 dans diff\u00e9rentes circonstances. Un correctif ult\u00e9rieur a r\u00e9solu le probl\u00e8me initialement identifi\u00e9, mais un second probl\u00e8me concernant la mani\u00e8re dont les champs \u00e9taient combin\u00e9s dans la cl\u00e9 de cache est rest\u00e9. L’attaquant du 6 septembre a exploit\u00e9 cette seconde faiblesse pour cr\u00e9er une sortie dont la valeur n’\u00e9tait pas soutenue par ses entr\u00e9es.<\/p>\n Elements v23.3.4 a modifi\u00e9 la mani\u00e8re dont les cl\u00e9s de cache de preuve de plage et de preuve de surjection sont construites en s\u00e9rialisant chaque champ avec un pr\u00e9fixe de longueur. Liquid a d\u00e9clar\u00e9 que ce changement emp\u00eache diff\u00e9rents ensembles d’entr\u00e9es de produire la m\u00eame cl\u00e9 de cache par la m\u00e9thode de collision utilis\u00e9e dans l’attaque. Le correctif renforc\u00e9 a \u00e9t\u00e9 fusionn\u00e9 dans la branche de version Elements 23.3.x le 8 septembre<\/strong>, et Elements v23.3.4 a \u00e9t\u00e9 publi\u00e9 le lendemain.<\/p>\n Comme pr\u00e9c\u00e9demment couvert par crypto.news, Liquid a repris la production de blocs apr\u00e8s que les n\u0153uds fonctionnaires aient re\u00e7u les mises \u00e0 jour logicielles requises, tandis que les op\u00e9rations de retrait restaient d\u00e9sactiv\u00e9es. Les transactions sont ensuite revenues sur le r\u00e9seau alors que Liquid poursuivait son processus de r\u00e9cup\u00e9ration par \u00e9tapes. Les retraits sont rest\u00e9s suspendus pendant que la f\u00e9d\u00e9ration terminait le travail sur la partie du syst\u00e8me qui lib\u00e8re des BTC de la r\u00e9serve.<\/p>\n La deuxi\u00e8me partie de la mise \u00e0 jour du 28 septembre se concentre sur le syst\u00e8me PAK utilis\u00e9 pour autoriser les retraits de Liquid vers Bitcoin. Dans l’architecture de Liquid, les entr\u00e9es PAK contiennent deux cl\u00e9s avec des fonctions distinctes. Un composant hors ligne est d\u00e9riv\u00e9 du portefeuille de r\u00e9ception Bitcoin d’un membre, tandis qu’une cl\u00e9 en ligne signe les demandes de retrait. Les n\u0153uds fonctionnaires utilisent le composant hors ligne pour v\u00e9rifier que la destination Bitcoin appartient \u00e0 une entr\u00e9e PAK enregistr\u00e9e. Les cl\u00e9s priv\u00e9es contr\u00f4lant le Bitcoin de r\u00e9ception doivent rester hors ligne.<\/p>\n L’\u00e9valuation de l’incident de Liquid a d\u00e9clar\u00e9 que l’arrangement du portefeuille hors ligne est destin\u00e9 \u00e0 fournir une autre couche de protection si un syst\u00e8me en amont \u00e9choue.<\/p>\n<\/blockquote>\n Le Bitcoin lib\u00e9r\u00e9 par un retrait resterait dans un portefeuille froid et n\u00e9cessiterait une action distincte avant de pouvoir \u00eatre d\u00e9plac\u00e9. L’incident du 6 septembre a expos\u00e9 une faiblesse dans cette protection, aux c\u00f4t\u00e9s de la vuln\u00e9rabilit\u00e9 de consensus d’Elements. Apr\u00e8s avoir cr\u00e9\u00e9 les LBTC non soutenus, l’attaquant a utilis\u00e9 SideSwap, un membre de la Liquid Federation avec un PAK, pour traiter le retrait. SideSwap a re\u00e7u environ 4 000 LBTC<\/strong> via son service avant que les signataires de la f\u00e9d\u00e9ration ne lib\u00e8rent environ 3 996 BTC<\/strong> sur Bitcoin.<\/p>\n L’\u00e9valuation de Liquid a d\u00e9clar\u00e9 que deux probl\u00e8mes distincts avaient permis au Bitcoin d’\u00eatre pris : les vuln\u00e9rabilit\u00e9s de consensus d’Elements et un \u00e9cart dans la configuration du processus de signature PAK d’un membre de la f\u00e9d\u00e9ration. SideSwap a d\u00e9clar\u00e9 que la f\u00e9d\u00e9ration savait que sa cl\u00e9 d’autorisation de retrait fonctionnait en ligne et que cet arrangement avait \u00e9t\u00e9 visible dans ses retraits pendant des ann\u00e9es. La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 qu’elle n’avait pas \u00e9t\u00e9 inform\u00e9e de changer le fonctionnement de la cl\u00e9 ou de suspendre les retraits avant l’incident.<\/p>\n La derni\u00e8re mise \u00e0 jour de Liquid confirme d\u00e9sormais que la f\u00e9d\u00e9ration remplace les entr\u00e9es PAK existantes et travaille \u00e0 s’assurer que les cl\u00e9s de retrait pertinentes sont conserv\u00e9es dans un stockage \u00e0 froid avant que les retraits ne reprennent. L’activit\u00e9 transactionnelle normale est revenue plus t\u00f4t en septembre, mais le retrait de Bitcoin est rest\u00e9 soumis \u00e0 des restrictions pendant la r\u00e9cup\u00e9ration. Liquid a initialement arr\u00eat\u00e9 les n\u0153uds de pont le 6 septembre apr\u00e8s que l’attaquant ait exploit\u00e9 le d\u00e9faut d’Elements.<\/p>\n Le plan de r\u00e9cup\u00e9ration par \u00e9tapes de Liquid pr\u00e9voit que les op\u00e9rations de retrait reprennent apr\u00e8s que l’\u00e9tat du r\u00e9seau ait \u00e9t\u00e9 restaur\u00e9 et que le travail de s\u00e9curit\u00e9 requis ait \u00e9t\u00e9 achev\u00e9. L’audit externe d’Elements v23.3.4 et le remplacement des entr\u00e9es PAK sont les derni\u00e8res \u00e9tapes divulgu\u00e9es dans ce processus.<\/p>\n","protected":false},"excerpt":{"rendered":" Le Liquid Network et la restauration des retraits Le Liquid Network est sur le point de restaurer les op\u00e9rations de retrait apr\u00e8s avoir lanc\u00e9 un audit de s\u00e9curit\u00e9 ind\u00e9pendant d’Elements v23.3.4 et coordonn\u00e9 des modifications des cl\u00e9s d’autorisation utilis\u00e9es dans le processus de retrait. Dans sa mise \u00e0 jour de l’\u00e9cosyst\u00e8me du 28 septembre, le Liquid Network a annonc\u00e9 que l’audit de s\u00e9curit\u00e9 externe d’Elements v23.3.4 est d\u00e9sormais en cours, dans le cadre de ses efforts pour restaurer en toute s\u00e9curit\u00e9 les retraits suite \u00e0 l’incident de s\u00e9curit\u00e9 survenu en septembre. Audit de s\u00e9curit\u00e9 et mise \u00e0 jour des PAK<\/p>\n","protected":false},"author":3,"featured_media":18929,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,64],"tags":[11,65,162,10871],"class_list":["post-18930","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bitcoin","category-hack","tag-bitcoin","tag-hack","tag-lbtc","tag-liquid-network"],"yoast_description":"Le Liquid Network initie un audit de s\u00e9curit\u00e9 d'Elements v23.3.4 pour restaurer les retraits de Bitcoin apr\u00e8s des vuln\u00e9rabilit\u00e9s et incidents r\u00e9cents.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/18930","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/comments?post=18930"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/18930\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media\/18929"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media?parent=18930"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/categories?post=18930"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/tags?post=18930"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Audit de s\u00e9curit\u00e9 et mise \u00e0 jour des PAK<\/h2>\n
\n
\u00c9valuation post-incident<\/h2>\n
Retour \u00e0 la normale et mesures de s\u00e9curit\u00e9<\/h2>\n
\n
Conclusion et prochaines \u00e9tapes<\/h2>\n