Haker właśnie poinformował twórców łańcucha bocznego Bitcoina, że muszą naprawić ten błąd, zanim zwróci im pieniądze

6 września 2026 r., nieco po godz. 14:00 czasu UTC, ktoś dyskretnie wypłacił 3 996 BTC z portfela federacyjnego sieci Liquid firmy Blockstream. W tamtym czasie stanowiło to około 320 milionów dolarów. Przed transakcją portfel zawierał około 4 200 BTC. Po jej zakończeniu pozostało w nim około 207. Dziewięćdziesiąt pięć procent rezerwy zabezpieczającej token L-BTC sieci Liquid po prostu zniknęło w wyniku jednego przelewu, a nikt w Blockstream nie przewidział tego zdarzenia.

W ciągu kilku godzin Liquid potwierdziło ten incydent na platformie X: firma Blockstream poinformowała, że jest świadoma incydentu związanego z bezpieczeństwem i stara się skontaktować z uczestnikami łańcucha bloków za pomocą podpisanego komunikatu, opisując tę wypłatę jako dzieło „rzekomych hakerów typu white-hat”. Sieć wstrzymała nowe transakcje, wyłączyła węzły mostkowe i poprosiła giełdy o zamrożenie wpłat i wypłat L-BTC na czas wyjaśnienia sytuacji. „Będzie to miało wpływ na portfele Liquid i przepraszamy za wszelkie niedogodności” – brzmiał wpis, co jest dość dziwnym stwierdzeniem po utracie dziewięciocyfrowej kwoty w bitcoinach w ciągu jednego weekendu.

To, co czyni tę sprawę niezwykłą, to nie wielkość straty, choć kwota 320 milionów dolarów plasuje ją w czołówce tegorocznej listy ataków hakerskich. Chodzi o to, czego się nie stało. Nie skradziono żadnych kluczy prywatnych. Żaden członek federacji nie padł ofiarą phishingu. Firma Liquid jasno stwierdziła, że klucz autoryzacyjny SideSwap Peg-out użyty do przeniesienia środków „nie został naruszony, podobnie jak żadne inne”. SideSwap potwierdził to, twierdząc, że transakcja została zrealizowana jako zwykłe zlecenie klienta, w pełni podpisane i autoryzowane, a systemy SideSwap nie miały możliwości stwierdzenia, że stojące za nią L-BTC nie powinny były istnieć.

To właśnie jest prawdziwy błąd. Ktoś znalazł lukę w Elements, oprogramowaniu open source stanowiącym podstawę Liquid, która pozwoliła mu wyemitować L-BTC, które nie były zabezpieczone prawdziwym bitcoinem. Analityk łańcucha bloków mononaut oszacował, że po wycieku każdy LBTC w obiegu był zabezpieczony jedynie około 4,7% rzeczywistego bitcoina. Antoine Poinsot, współpracownik projektu Bitcoin Core, znany pod pseudonimem darosior, zauważył, że coś jeszcze było nie tak: blok sieci Liquid, który został zaakceptowany przez własną przeglądarkę Blockstream, w ogóle nie pojawił się na stronie mempool.space – ten drobny szczegół techniczny wskazywał, jak głęboko w logice konsensusu sięgała ta luka. Badacze ostatecznie ustalili, że przyczyną był sposób, w jaki poufne transakcje w sieci Liquid są weryfikowane i buforowane – był to błąd powodujący inflację, a nie kradzież klucza.

Potem nastąpiła część, która sprawia, że jest to jeden z dziwniejszych impasów w historii bezpieczeństwa kryptowalut. Osoba lub osoby posiadające środki zaczęły wysyłać do Blockstream wiadomości osadzone bezpośrednio w transakcjach Bitcoin, niektóre za pomocą OP_RETURN, a inne – jak się podaje – zaszyfrowane za pomocą PGP. Jedna z nich brzmiała mniej więcej tak: najpierw naprawcie błąd, upewnijcie się, że wszystkie węzły mają zainstalowaną poprawkę, a dopiero wtedy pieniądze zostaną zwrócone. Blockstream, kierowany przez Adama Backa, odpowiedział w podobny sposób. Według doniesień serwisu The Block firma wysłała własną, podpisaną wiadomość po wdrożeniu poprawki: „Węzły pomostowe zostały załatane, można bezpiecznie zwrócić środki”. W chwili pisania tego tekstu bitcoiny nadal znajdowały się w portfelu atakującego.

Szef działu badań w Galaxy Digital, Alex Thorn, powiedział, że hakerzy poszli o krok dalej i wysłali firmie Blockstream zaszyfrowane opisy techniczne, aby pomóc w zidentyfikowaniu luki. Jeśli to się potwierdzi, będzie to naprawdę dziwna struktura motywacyjna: exploit o wartości 320 milionów dolarów funkcjonujący jak dotąd jako nieopłacany i dość agresywny program bug bounty. Jedynym pytaniem, które ma teraz znaczenie, jest to, czy sytuacja ta się utrzyma, a nikt poza właścicielem tego portfela tak naprawdę nie zna odpowiedzi. Każde duże zgłoszenie typu „white-hat” w tej branży jest poddawane weryfikacji w momencie, gdy faktycznie nadchodzi termin zwrotu środków.

Dla wszystkich pozostałych osób bezpośrednie szkody mają bardziej prozaiczny charakter. Pozostałe aktywa Liquid, w tym USDT, DePix oraz różne tokenizowane aktywa świata rzeczywistego w sieci, pozostały podobno nienaruszone, ponieważ błąd dotyczył konkretnie obsługi poufnych transakcji L-BTC, a nie łańcucha bocznego jako całości. Jednak federacja i tak wstrzymała działanie całej sieci, a giełdy, które realizują rozliczenia za pośrednictwem Liquid, musiały zawiesić działalność związaną z LBTC na czas wdrażania poprawek przez operatorów węzłów federacji. Liquid działa od 2018 roku jako federacyjna łańcuch boczny Bitcoina nadzorowany przez ponad 80 giełd i firm infrastrukturalnych, a tego rodzaju zdarzenia są zazwyczaj przywoływane w każdej przyszłej argumentacji za lub przeciw projektom mostów federacyjnych.

Widać tu również szerszy wzorzec, który łatwo przeoczyć, skupiając się na szczegółach pojedynczego incydentu. Już sam ten atak sprawił, że łączna wartość strat spowodowanych w tym tygodniu przez hakerów w świecie kryptowalut przekroczyła 320 milionów dolarów, a do tej kwoty doszły inne, mniejsze straty, w tym atak na rachunek powierniczy w Notional Finance o wartości około 1,7 miliona dolarów, który został oddzielnie zgłoszony przez podmioty monitorujące bezpieczeństwo. Łańcuchy boczne i mosty nadal są miejscem, z którego wypływają pieniądze – nie dlatego, że podstawowa warstwa Bitcoina jest słaba, ale dlatego, że wszystko, co jest budowane obok niej, dziedziczy wszelkie błędy występujące w jej oprogramowaniu.

Blockstream nie podał, kiedy Liquid w pełni wznowi działalność, ani nie potwierdził tożsamości atakującego, ani też tego, czy określenie „white hat” jest właściwe w odniesieniu do osoby, która zabrała niemal całe rezerwy sieci, zanim zgodziła się na rozmowy. Na razie historia ta przypomina łańcuch boczny bitcoina czekający na obietnicę, zapisaną w komunikatach łańcucha bloków, od tej samej osoby, która właśnie udowodniła, że obietnica ta była w ogóle konieczna.