Що сталося
6 вересня 2026 року з гаманця федерації Liquid Network пішли близько 4000 BTC — приблизно $320 млн за курсом того дня. Liquid — це сайдчейн біткоїна від компанії Blockstream: окрема мережа, де ходять токени L-BTC, і кожен такий токен має бути забезпечений справжнім біткоїном у спільному гаманці федерації. О 14:05 UTC клієнт надіслав 4000 L-BTC у сервіс виведення SideSwap, а за 23 хвилини федерація виплатила 3996 BTC уже в основній мережі біткоїна. Мережу Liquid зупинено. Наступного дня, 7 вересня, нападник повернув 3400 BTC — майже 85% суми.
Деталі
- Причина — не крадіжка ключів, а баг. Вразливість в Elements, програмній основі Liquid, дала змогу створити L-BTC без забезпечення. Автоматика федерації не відрізнила підроблені токени від справжніх і провела виведення як звичайне. Федерація заявила, що «ні цей ключ, ні будь-який інший ключ федерації не був скомпрометований»; SideSwap повідомив, що його системи теж не зламували.
- Підписів вистачило. Гаманець федерації захищений схемою 11 з 15: щоб випустити гроші, потрібні підписи 11 учасників із 15. Усі 83 входи тієї транзакції мали коректну кількість підписів — формально система спрацювала штатно (Protos).
- Переговори йшли просто в блокчейні. Сторони обмінювалися PGP-підписаними повідомленнями всередині біткоїн-транзакцій. Перше повідомлення нападника: «we are whitehats. contact us on chain» — «ми білі капелюхи, звʼяжіться з нами в мережі». У блоці 965 875 він зажадав спершу закрити діру й оновити всі вузли, після чого Blockstream відповів: «Bridge nodes are patched, safe to return the funds» (The Block).
- Що повернулося. У блоці 965 950 на адресу федерації надійшли 3400 BTC. Станом на 7 вересня, 17:40 UTC, на адресі нападника лишалося 598,49957 BTC — близько $47,3 млн за курсом $79 094; на адресі федерації — 3597,47 BTC. Ці два числа ми звірили в оглядачі блоків, а не за заявами сторін.
Що це означає
Просто зараз це стосується власників L-BTC і тих, хто тримав їх на біржах: мережа на паузі, мостові вузли вимкнено, введення та виведення L-BTC зупинено, а строків відновлення ніхто не назвав. Інші активи Liquid — USDT, токенізовані папери — не зачепило, основна мережа біткоїна не постраждала взагалі. Головна цифра для оцінки ризику — 598,5 BTC (~$47,3 млн), які нападник залишив собі: це не узгоджена винагорода за знайдену вразливість, а сума, утримана в односторонньому порядку, і повернути її за законом не буде чим, поки людина анонімна. Другий урок практичний: захист «11 підписів із 15» не рятує, якщо підроблено сам актив, який підписують, — і та сама логіка працює в будь-якій схемі з мультипідписом, де учасники довіряють вхідним даним. Горизонт найближчий: доки Liquid не перезапустять і не покажуть звіт про діру, L-BTC на біржах лишається неліквідним.
