Взлом Liquid Network: из кошелька федерации вывели 4000 BTC

Коротко: 6 сентября 2026 года злоумышленник вывел около 4000 BTC — примерно $320 млн — из федеративного кошелька, который обеспечивает Liquid Network, сайдчейн биткоина от Blockstream. Для взлома Liquid Network использовали программную ошибку: атакующий создал ничем не обеспеченные L-BTC и обменял их на настоящие биткоины, после чего L-BTC оказался обеспечен менее чем на 5%. В тот же день работу моста приостановили.

Что произошло

Liquid — сайдчейн, который Blockstream запустила в 2018 году. Пользователь блокирует биткоины у группы операторов — федерации — и получает столько же L-BTC. Этот токен переводится быстрее и конфиденциальнее, чем BTC в основной сети, и должен погашаться один к одному. До воскресенья в кошельке федерации лежало около 4200 BTC.

Днём в воскресенье, 6 сентября, федерация Liquid Network подписала вывод примерно 3996 BTC на адрес, с которым никогда раньше не работала (всего, по подсчётам ончейн-аналитиков, из резерва ушло чуть больше 4000 BTC). В кошельке осталось лишь около 200 BTC. Спустя несколько часов получатель вписал в биткоин-транзакцию короткое сообщение: назвался «белыми хакерами» и попросил Blockstream выйти на связь прямо в блокчейне. Blockstream ответила тем же способом, подписав сообщение своим PGP-ключом.

• Выведено: около 4000 BTC, примерно $320 млн на тот момент.
• Резерв до и после: около 4200 BTC до атаки, около 200 BTC после.
• Маршрут: обычный вывод (peg-out) через SideSwap — сервис обмена в Liquid, которому разрешено запрашивать выводы.
• Реакция: узлы моста отключены, ввод и вывод BTC приостановлены, биржам предложено остановить депозиты и выводы L-BTC.

Как был устроен взлом Liquid Network

Ключи не крали. Blockstream заявила, что ни ключ авторизации вывода (PAK) SideSwap, ни подписывающие ключи федерации, судя по всему, не скомпрометированы. Первичный анализ указывает на ошибку в Elements — открытом ПО на основе Bitcoin Core, на котором работает Liquid.

1. По данным ончейн-исследователей, атакующий несколько дней проверял систему небольшими вводами и десятками пробных транзакций.
2. Уязвимость, как сообщается, была в том, как Elements кэширует криптографические доказательства, скрывающие суммы транзакций. С её помощью атакующий заставил узлы принять транзакцию, которая создала около 4000 L-BTC из ничего.
3. Затем поддельные L-BTC прошли через стандартный вывод SideSwap. Транзакция выглядела для сети корректной, поэтому аппаратные модули безопасности федерации подписали выплату: для перевода нужно согласие 11 из 15 операторов-функционеров, и оно было получено.

Иначе говоря, мультиподпись сработала ровно так, как задумано: подписала то, что правила консенсуса сочли законным. Слабым местом оказалось ПО проверки правил, а не ключи.

Взлом в цифрах

Что пострадало, а что нет

Сам блокчейн биткоина не затронут: это сбой внутри сайдчейна, а не в Bitcoin. Liquid сообщила, что другие выпущенные в сети активы — в том числе USDT на Liquid и токенизированные реальные активы — не пострадали, поскольку они не погашаются из резерва BTC. Цепочка Liquid также продолжала производить блоки.

Удар пришёлся на держателей L-BTC. Токен, обещающий погашение один к одному, надёжен ровно настолько, насколько надёжен резерв за ним, а после потери около 95% резерва погасить L-BTC пока мост на паузе было невозможно. Получат ли держатели свои средства полностью, зависит от того, вернут ли атакующие монеты или покроют ли разрыв Blockstream и федерация.

К ярлыку «белых хакеров» стоит относиться осторожно. Специалисты по безопасности напомнили, что ответственное раскрытие означает сообщить об ошибке до того, как двигать средства, а не после. Сначала забрать $320 млн, а потом договариваться — это рычаг давления, какими бы ни были заявленные намерения.

Что это значит для вас

Любая «обёрнутая» или перенесённая через мост версия биткоина — L-BTC, WBTC, токены межсетевых мостов — заменяет безопасность самого Bitcoin безопасностью того, кто держит резерв, и ПО, которое он использует. Почему такие резервы так часто атакуют, объясняем в материале о межсетевых мостах.

• Если у вас L-BTC, не продавайте его в панике с дисконтом на тонком рынке и не отправляйте BTC на адреса ввода Liquid, пока федерация не подтвердит перезапуск сети.
• Остерегайтесь поддельных сайтов «компенсации». За громкими взломами всегда следует фишинг, обещающий возмещение в обмен на подключение кошелька или сид-фразу.
• Для хранения выбирайте нативные активы. Если вам нужен просто биткоин, держите BTC в сети Bitcoin, а обёрнутые версии используйте только на то время, когда они действительно нужны.
• При обмене проверяйте сеть. BTC, L-BTC и обёрнутый BTC называются похоже, но риски у них разные — убедитесь, что выбрали именно ту сеть, которую имели в виду.

Главное

• 6 сентября 2026 года из кошелька федерации Liquid ушло около 4000 BTC (~$320 млн), в резерве осталось около 200 BTC.
• Атакующий, судя по всему, использовал ошибку в Elements, чтобы выпустить необеспеченные L-BTC и погасить их через SideSwap.
• Подписывающие ключи не скомпрометированы: федерация подписала вывод, потому что транзакция выглядела корректной.
• Ввод и вывод BTC приостановлены; сам Bitcoin и небиткоиновые активы Liquid не пострадали.
• Атакующие называют себя «белыми хакерами», но это заявление ничем не подтверждено.

Если нужно перейти из одного актива в другой, не держа по пути обёрнутый токен, прямые направления можно сравнить на странице пар обмена и увидеть точную сумму к получению до создания заявки.

Источники: Bitcoin Magazine, Protos, The Register, Bitquery