Що сталося
22 вересня 2026 року CEO Alpen Labs Сіманта Гаутам опублікував розбір зламу Liquid Network — сайдчейну біткоїна від Blockstream. 6 вересня з резерву його федерації пішли 3996 BTC, близько $320 млн за курсом того дня. За словами Гаутама, внутрішня система ШІ-агентів Alpen — MASH (Multi-Agent Security Harness) — приблизно за годину знайшла першопричину й відтворила атаку на локальному стенді. Причина — не викрадений ключ, а помилка в кеші перевірок, яку внесло виправлення іншого, старішого бага.
Деталі
- Як працювала діра. Elements — програма, на якій працює Liquid, — запам’ятовує результати успішної перевірки range proof. Це криптографічний доказ того, що прихована сума в транзакції коректна і не взялася з повітря. Зміна коду від 1 вересня склеювала дані для ключа кешу підряд, без роздільників. Коректний доказ-«затравка» і підроблений могли дати однаковий ключ: вузол знаходив збіг у кеші й пропускав перевірку. Так з’явилися близько 4000 L-BTC без забезпечення.
- Хто підтвердив. За словами Гаутама, Blockstream підтвердила, що причина збігається з її внутрішніми висновками. Застереження самої Alpen: точних бінарників вузлів федерації та вмісту їхнього кешу в неї не було, тому роботу бойового коду відновлено за вихідним кодом і даними блокчейну.
- Виправлення. 9 вересня вийшла Elements 23.3.4: ключі кешу тепер враховують довжину кожного поля, а кеш range proof можна вимкнути опцією
-norangeproofcache. - Чому не спрацювали ліміти. SideSwap у заяві від 9 вересня визнала дві свої помилки: ключ авторизації виведення лежав на онлайн-сервері, а виплати йшли клієнту автоматично в тому самому блоці. Ордер на 4000 L-BTC із гаманця, якому було кілька годин, пройшов без ліміту за сумою, швидкістю, віком гаманця і без ручної перевірки. Перед крадіжкою атакувальник прогнав 70 «репетиційних» транзакцій і тестове виведення на 2,5 L-BTC.
Що це означає
Власників L-BTC стосується передусім одне: обміняти L-BTC назад на біткоїн поки не можна. Мережа з 10 вересня знову виробляє блоки, обміни на SideSwap працюють, але виведення в основну мережу (peg-out) закрите до завершення перевірки безпеки у федерації. За даними CryptoSlate, 17 вересня федерація пообіцяла відкрити його лише після підтвердження забезпечення 1:1 і незалежних рев’ю — строків немає.
Для всіх, хто тримає «обгорнутий» біткоїн на мостах і сайдчейнах, урок практичніший, ніж «ШІ знайшов баг за годину»: агенти спрацювали вже після крадіжки. Втрату $320 млн могла зупинити проста перевірка на виході — ліміт на розмір ордера або затримка для великого виведення. Перш ніж тримати в такому активі помітну суму, варто дізнатися, чи має міст ліміти на виведення і ручну перевірку великих заявок. Мультипідпис «11 із 15» на гаманці федерації від цього не врятував: підписанти схвалили виведення, спираючись на вже підроблений стан мережі.
Контекст
6–7 вересня атакувальник повернув 3400 BTC, а близько 598,5 BTC залишив собі — подробиці в нашій новині про повернення біткоїнів у Liquid Network.
