Что произошло
6 сентября 2026 года из кошелька федерации Liquid Network ушли около 4000 BTC — примерно $320 млн по курсу того дня. Liquid — это сайдчейн биткоина от компании Blockstream: отдельная сеть, где ходят токены L-BTC, и каждый такой токен должен быть обеспечен настоящим биткоином в общем кошельке федерации. В 14:05 UTC клиент отправил 4000 L-BTC в сервис вывода SideSwap, а через 23 минуты федерация выплатила 3996 BTC уже в основной сети биткоина. Сеть Liquid остановлена. На следующий день, 7 сентября, атакующий вернул 3400 BTC — почти 85% суммы.
Детали
- Причина — не кража ключей, а баг. Уязвимость в Elements, программной основе Liquid, позволила создать L-BTC без обеспечения. Автоматика федерации не отличила поддельные токены от настоящих и провела вывод как обычный. Федерация заявила, что «ни этот ключ, ни любой другой ключ федерации не был скомпрометирован»; SideSwap сообщил, что его системы тоже не взламывали.
- Подписей хватило. Кошелёк федерации защищён схемой 11 из 15: чтобы выпустить деньги, нужны подписи 11 участников из 15. Все 83 входа той транзакции были подписаны корректным числом подписей — формально система сработала штатно (Protos).
- Переговоры шли прямо в блокчейне. Стороны обменивались PGP-подписанными сообщениями внутри биткоин-транзакций. Первое сообщение атакующего: «we are whitehats. contact us on chain» — «мы белые шляпы, свяжитесь с нами в сети». В блоке 965 875 он потребовал сначала закрыть дыру и обновить все узлы, после чего Blockstream ответил: «Bridge nodes are patched, safe to return the funds» (The Block).
- Что вернулось. В блоке 965 950 на адрес федерации пришли 3400 BTC. На 7 сентября, 17:40 UTC, на адресе атакующего оставалось 598,49957 BTC — около $47,3 млн по курсу $79 094; на адресе федерации — 3597,47 BTC. Эти два числа мы сверили в обозревателе блоков, а не по заявлениям сторон.
Что это значит
Прямо сейчас это касается держателей L-BTC и тех, кто хранил их на биржах: сеть на паузе, мостовые узлы отключены, ввод и вывод L-BTC приостановлены, а сроков возобновления никто не назвал. Остальные активы Liquid — USDT, токенизированные бумаги — не тронуты, основная сеть биткоина не затронута вовсе. Главная цифра для оценки риска — 598,5 BTC (~$47,3 млн), которые атакующий оставил себе: это не согласованное вознаграждение за находку уязвимости, а сумма, удержанная в одностороннем порядке, и вернуть её по закону будет нечем, пока человек анонимен. Второй урок практический: защита «11 подписей из 15» не спасает, если подделан сам актив, который подписывают, — и та же логика работает в любой схеме с мультиподписью, где участники доверяют входным данным. Горизонт ближайший: пока Liquid не перезапустят и не покажут отчёт о дыре, L-BTC на биржах остаётся неликвидным.
