Lightning et Liquid : une faille corrigée, des retraits gelés, la seconde couche du bitcoin sous pression

Le bitcoin lui-même n’est pas en cause. Mais deux infrastructures construites au-dessus de lui viennent de rappeler que chaque couche ajoutée apporte ses propres risques. D’un côté, une faille du Lightning Development Kit (LDK), corrigée mais qui impose une mise à jour des applications. De l’autre, la sidechain Liquid, dont les retraits vers le bitcoin restent suspendus plus d’un mois après un incident de sécurité.

Lightning : un pair qui « ment » après une reconnexion

LDK est une bibliothèque logicielle utilisée pour construire des portefeuilles et des applications de paiement sur le réseau Lightning. Selon CryptoSlate, ses développeurs ont corrigé une faille qui pouvait permettre à un pair malveillant de voler la valeur d’un paiement relayé.

Le mécanisme

Le pair accuse réception d’une mise à jour du canal, puis se reconnecte et prétend ne jamais l’avoir reçue. Avant le correctif, cette fausse déclaration pouvait amener LDK à signer une transaction d’engagement contradictoire, non enregistrée par son système de surveillance. L’attaquant pouvait alors la confirmer sur la blockchain, laisser le paiement aboutir en aval et récupérer le paiement entrant à son expiration. Le nœud intermédiaire avait payé sans être remboursé.

Le correctif n’autorise désormais la retransmission que tant que l’accusé de réception du pair est en attente. Si un pair prétend avoir manqué une mise à jour déjà confirmée, le canal est fermé de force.

Qui doit agir

Les versions 0.2.7 et 0.1.13, datées du 1er octobre, contiennent la correction. La version 0.2.7 corrige aussi un défaut du service LSPS2 de paiements « juste à temps », qui pouvait amener un fournisseur de liquidité à transférer plus que le montant reçu. Parce que LDK est intégré directement dans les applications, la mise à jour de la bibliothèque ne suffit pas : chaque éditeur doit déployer une nouvelle version de son application. Les opérateurs LSPS2 doivent aussi vérifier les paiements mis en attente sous les versions antérieures.

Liquid : 35 jours de retraits gelés

Liquid est une sidechain du bitcoin gérée par Blockstream. Une fédération conserve des bitcoins en multisignature, et les utilisateurs reçoivent en échange des L-BTC censés être échangeables un pour un.

Ce qui s’est passé

Selon Crypto Briefing, l’incident a commencé le 6 septembre 2026 : un bogue d’Elements, le logiciel qui fait fonctionner Liquid, a permis de créer et de racheter des L-BTC sans autorisation. Environ 4 000 BTC, soit près de 320 millions de dollars à l’époque, ont quitté la réserve de la fédération, tombée d’environ 4 205 BTC à 197 BTC au plus bas. Des acteurs bienveillants ont restitué environ 3 400 BTC dès le 7 septembre. Les clés de signature des membres de la fédération n’ont pas été compromises.

Un trou d’environ 603 BTC

Selon The Defiant, la réserve couvre aujourd’hui 85,8 % des L-BTC en circulation, ce qui laisse un écart d’environ 603 BTC. La production de blocs et les transactions ont repris le 10 septembre, et les USDT et actifs tokenisés émis sur Liquid n’ont pas été perturbés. Mais les retraits vers le bitcoin restent suspendus.

Liquid conditionne leur réouverture à une couverture intégrale de chaque L-BTC, à des mises à jour logicielles, à des audits de sécurité achevés et à des changements dans la gestion des clés, avec un passage en stockage à froid. Adam Back, directeur général de Blockstream, aurait assuré que la parité serait rétablie, mais aucune date n’est annoncée.

Ce qu’il faut retenir

Ces deux cas illustrent une même réalité : la sécurité du bitcoin ne s’étend pas automatiquement aux systèmes construits au-dessus. Une couche secondaire ajoute du code, des intermédiaires et parfois des promesses de convertibilité qui ont leurs propres points de rupture. Pour les utilisateurs, deux réflexes s’imposent : mettre à jour rapidement les applications Lightning, et garder à l’esprit qu’un actif « adossé au bitcoin » dépend de la solidité de sa réserve.

Sources : CryptoSlate, Bitcoin Optech, Crypto Briefing, The Defiant.

👉 Vous avez aimé cette analyse ? Recevez notre briefing complet chaque matin à 07h00. Abonnez-vous gratuitement à la newsletter L’Instant Crypto.