Что произошло
22 сентября 2026 года CEO Alpen Labs Симанта Гаутам опубликовал разбор взлома Liquid Network — сайдчейна биткоина от Blockstream. 6 сентября из резерва его федерации ушли 3996 BTC, около $320 млн по курсу того дня. По словам Гаутама, внутренняя система ИИ-агентов Alpen — MASH (Multi-Agent Security Harness) — примерно за час нашла первопричину и воспроизвела атаку на локальном стенде. Причина — не украденный ключ, а ошибка в кэше проверок, которую внесло исправление другого, более старого бага.
Детали
- Как работала дыра. Elements — программа, на которой работает Liquid, — запоминает результаты успешной проверки range proof. Это криптографическое доказательство того, что скрытая сумма в транзакции корректна и не взялась из воздуха. Изменение кода от 1 сентября склеивало данные для ключа кэша подряд, без разделителей. Корректное доказательство-«затравка» и поддельное могли дать одинаковый ключ: узел находил совпадение в кэше и пропускал проверку. Так появились около 4000 L-BTC без обеспечения.
- Кто подтвердил. По словам Гаутама, Blockstream подтвердила, что причина совпадает с её внутренними выводами. Оговорка самой Alpen: точных бинарников узлов федерации и содержимого их кэша у неё не было, поэтому работа боевого кода восстановлена по исходникам и данным блокчейна.
- Исправление. 9 сентября вышла Elements 23.3.4: ключи кэша теперь учитывают длину каждого поля, а кэш range proof можно отключить опцией
-norangeproofcache. - Почему не сработали лимиты. SideSwap в заявлении от 9 сентября признала две свои ошибки: ключ авторизации вывода лежал на онлайн-сервере, а выплаты уходили клиенту автоматически в том же блоке. Ордер на 4000 L-BTC с кошелька, которому было несколько часов, прошёл без лимита по сумме, скорости, возрасту кошелька и без ручной проверки. Перед кражей атакующий прогнал 70 «репетиционных» транзакций и тестовый вывод на 2,5 L-BTC.
Что это значит
Держателей L-BTC касается прежде всего одно: обменять L-BTC обратно на биткоин пока нельзя. Сеть с 10 сентября снова производит блоки, обмены на SideSwap работают, но вывод в основную сеть (peg-out) закрыт до конца проверки безопасности у федерации. По данным CryptoSlate, 17 сентября федерация пообещала открыть его только после подтверждения обеспечения 1:1 и независимых ревью — сроков нет.
Для всех, кто держит «обёрнутый» биткоин на мостах и сайдчейнах, урок практичнее, чем «ИИ нашёл баг за час»: агенты сработали уже после кражи. Потерю $320 млн могла остановить простая проверка на выходе — лимит на размер ордера или задержка для крупного вывода. Перед тем как держать в таком активе заметную сумму, стоит узнать, есть ли у моста лимиты на вывод и ручная проверка крупных заявок. Мультиподпись «11 из 15» на кошельке федерации от этого не спасла: подписанты одобрили вывод, опираясь на уже подделанное состояние сети.
Контекст
6–7 сентября атакующий вернул 3400 BTC, а около 598,5 BTC оставил себе — подробности в нашей новости о возврате биткоинов в Liquid Network.
