Liquid Network zhakowana: 4000 bitcoinów zniknęło, 3400 wróciło

W sobotę 6 września, między 13:53 a 14:28 UTC, około 4000 bitcoinów opuściło portfel federacji Liquid Network, bitcoinowego sidechaina firmy Blockstream. Po ówczesnym kursie było to 319 milionów dolarów, czyli około 274 milionów euro; według TRM Labs to największy hack kryptowalutowy 2026 roku jak dotąd. Dzień później atakujący odesłali 3400 BTC. Pozostałe 598,5 BTC, około 47 milionów dolarów lub 40 milionów euro, wciąż mają. Liquid od tego czasu stoi.

Jak przebiegł atak

Liquid to sidechain: wysyłasz bitcoiny do portfela zarządzanego przez federację firm i w zamian dostajesz na sidechainie L-BTC, jeden do jednego. Oprogramowanie walidujące sidechain nazywa się Elements. Tam tkwił błąd: luka w pamięci podręcznej range proofs przepuszczała nieprawidłowe wyjścia transakcji jako zweryfikowane. Dzięki temu atakujący wygenerowali około 4000 L-BTC, za którymi nie stał żaden bitcoin.

Te niepokryte L-BTC zgłosili do wykupu przez SideSwap, autoryzowanego operatora peg-out. Federacja działa na multisigu 11 z 15. Podpisała wypłatę, bo Elements uznawał łańcuch z niepokrytymi L-BTC za prawidłowy. W 36 minut portfel federacji spadł z około 4200 do nieco ponad 200 BTC. Blockstream twierdzi, że żaden klucz nie został przejęty, a SideSwap potwierdza, że niepokryte L-BTC pochodziły z błędu w Elements. Nie było to więc skradzione hasło, lecz błąd w kodzie, któremu ufał cały łańcuch.

Białe kapelusze z nagrodą, którą sami sobie wyznaczyli

Atakujący zostawili wiadomość w łańcuchu: są white hatami, skontaktujcie się z nami on-chain i najpierw naprawcie błąd, bo każdy węzeł na ostatnim commicie jest zagrożony. 7 września nastąpił zwrot 3400 BTC, czyli 85 % łupu.

Nie wszyscy w to wierzą. Charles Guillemet, CTO Ledgera, porównał sprawę do hacku Ronin: najpierw zabrać pieniądze, a potem negocjować, to nie jest odpowiedzialne ujawnienie. Samson Mow, były CSO Blockstream, zauważył, że prośba o kontakt nie wyszła z adresu, na którym leżały bitcoiny. A zatrzymane 598,5 BTC, 15 %, to nagroda, którą atakujący przyznali sobie sami; Blockstream nie zaoferował bounty tej wielkości. TRM Labs oznaczyła adresy i śledzi 47 milionów dolarów.

Co to oznacza, jeśli masz L-BTC

Trzy rzeczy są pewne na 9 września. Sieć jest wstrzymana, giełdy nie wznowiły handlu L-BTC, a wymiana z powrotem na bitcoina jest zatrzymana. Federacja nie ogłosiła jeszcze warunków odbudowy.

Rachunek TRM Labs to sedno: w rezerwie jest teraz około 3597 BTC wobec szacowanych 4200 L-BTC w obiegu. To pokrycie na poziomie około 86 %. Dopóki 598,5 BTC nie wróci albo Blockstream sam nie załata dziury, nie każdy L-BTC jest już w pełni pokryty. Inne aktywa na Liquid, jak USDT i tokenizowane papiery wartościowe, według pierwszych doniesień nie ucierpiały.

Kto trzyma bitcoiny na głównym łańcuchu, we własnym walletcie lub na giełdzie, nic nie odczuje. Błąd był w Elements, nie w Bitcoin Core.

Rynek ledwie zareagował

Bitcoin zamknął 8 września na poziomie 78 475 dolarów, o 0,9 % niżej. The Motley Fool wymienił hack wśród przyczyn, obok ponad 60 % prawdopodobieństwa podwyżki stóp Fed według CME FedWatch i trwających ataków amerykańsko-irańskich, które utrzymują ropę powyżej 100 dolarów za baryłkę. W skali miesiąca bitcoin wciąż jest ponad 20 % na plusie.

Czego się z tego nauczyć

Sidechain to umowa: oddajesz swoje bitcoiny federacji i ufasz, że jej oprogramowanie i podpisy są w porządku. To nie to samo co bitcoin w walletcie, do którego klucze masz ty. Wadą samodzielnego przechowywania jest to, że każdy błąd jest twój; wadą powierzenia jest to, że cudzy błąd staje się twoim. Liquid działa od 2018 roku, z Blockstream za plecami i multisigiem piętnastu stron, i nie wystarczyło, gdy skłamał sam kod walidacji.

Wpisuje się to w schemat, który opisaliśmy w czerwcu: hacki są rzadsze, ale robią więcej szkód. Po Coinsbuy w sierpniu i przejętych kontach w DeFi to trzecia warstwa, która zawiodła: nie użytkownik, nie depozytariusz, lecz sam łańcuch.

To nie jest rada, by unikać L-BTC czy Liquid, ale powód, by kwota po kwocie zdecydować, które ryzyko wolisz nieść: własnego seeda czy federacji.

Źródła: TRM Labs, „2026's Biggest Hack To Date: Attackers Drained USD 319 Million in Bitcoin From Liquid Network” (8 września 2026); Yahoo Finance, „Blockstream's Liquid Network Drained 4000 Bitcoin by Alleged White Hat Hackers” (7 września 2026); The Motley Fool, „Crypto Market Today, Sept. 8” (8 września 2026). Kwoty w dolarach przeliczone po kursie referencyjnym EBC z 8 września 2026 (0,861 euro za dolara). Ostatnia weryfikacja: 9 września 2026.