Что произошло
В ночь на 3 ноября 2026 года федерация Liquid Network объявила, что резервы сети снова полностью покрывают все токены L-BTC — обеспечение биткоином 1:1 восстановлено. Liquid — сайдчейн биткоина от Blockstream: каждый L-BTC должен быть подкреплён настоящим биткоином в кошельке федерации. После взлома 6 сентября покрытие держалось около 86%. Мы сверили цифры в обозревателе liquid.network 3 ноября: в резерве 4270,54 BTC против 4270,54 L-BTC в обращении.
Детали
- Чем закрыли дыру. 11 октября недоставало около 602,5 BTC (The Defiant). По данным обозревателя, на адрес федерации со сторонних кошельков пришли 50 BTC 28 октября и два перевода 2 ноября — 300 BTC и 250 BTC (блоки 974 299 и 974 307). Вместе это 600 BTC, примерно размер дыры.
- Кто заплатил — не сказано. Федерация источник денег не раскрыла. Хакер их не возвращал: на 3 ноября на его адресе по-прежнему 598,5 BTC — около $46 млн по курсу $76 971. Значит, потерю покрыли чужими деньгами, а не возвратом украденного.
- Что поменяли в защите. Генеральный директор Blockstream Адам Бэк 3 ноября перечислил в X три изменения. Ключи, которыми федерация разрешает вывод в основную сеть (PAK), заменены и хранятся в холодных аппаратных кошельках. Кэш проверок доказательств — то место, где сидел баг, — отключён, узлы обновлены. Правила консенсуса ужесточены по принципу fail closed: при сомнении узел отклоняет транзакцию, а не пропускает её. Плюс несколько внешних аудитов.
- Вывод по-прежнему под контролем. Обмен BTC на L-BTC и обратно по курсу 1:1 работает через сервисы обмена с октября. Прямой вывод через федерацию (peg-out) пока доступен только держателям ключей PAK — полное резервирование было условием, чтобы открыть его шире (The Defiant).
Что это значит
Для держателей L-BTC главный риск снят: до 2 ноября один токен был покрыт примерно 0,86 BTC, теперь — целым биткоином. Убыток в ~598,5 BTC взял на себя не пользователь. Но свободного вывода через федерацию ещё нет: подробности по управлению сетью и следующим шагам федерация обещала «в ближайшие недели».
Второй урок адресован разработчикам. Бэк написал: относиться к исправлениям, которые предлагает ИИ, с подозрением — «не доверяй, проверяй». Баг, через который ушли 3996 BTC, внесла правка от 1 сентября, чинившая другую ошибку. Была ли та правка подсказана ИИ, Бэк не уточнил. Практический вывод для всех, кто пишет код с ИИ-ассистентом: патч в проверках и кэше от модели проверяется так же строго, как от человека, — особенно там, где речь о деньгах. Как выстроить такую проверку, мы разбирали в материале о дисциплине вайб-кодинга.
Контекст
6–7 сентября атакующий вывел около 4000 BTC и вернул 3400 BTC — подробности в нашей новости о возврате биткоинов в Liquid Network. Как именно работала дыра в кэше Elements — в разборе причины взлома Liquid от Alpen.
