Blockstream erklärte, dass das Unternehmen kein Lösegeld für die nach dem Exploit im Liquid Network weiterhin fehlenden rund 600 BTC zahlen werde. Damit nimmt die Firma eine klare Position in einem der meistbeachteten Sicherheitsvorfälle im Kryptowährungssektor des Jahres 2026 ein.

Die Ablehnung wurde am 11. September 2026 bekannt. Laut crypto.news erklärte Blockstream, eine mit den gestohlenen Bitcoin verbundene Forderung nicht erfüllen zu wollen. Liquid ist eine Bitcoin-Sidechain, also eine separate Blockchain, die mit dem Bitcoin-Hauptnetz verbunden ist.

Blockstream lehnt gemeldete Lösegeldforderung ab

Blockstream, das Unternehmen hinter dem Liquid Network, erklärte, nicht für die Rückerlangung der fehlenden Bitcoin zahlen zu wollen. Über die Stellungnahme berichtete auch Unchained.

Unchained berichtete, dass die Angreifer eine Gebühr in Höhe von 10 % der während des Vorfalls entwendeten 4.000 BTC verlangt hätten. Blockstream lehnte die Forderung ab und wies auch eine Einordnung als „White Hat“ zurück – ein Begriff, der mitunter verwendet wird, wenn ein Angreifer gestohlene Gelder gegen eine Belohnung zurückgibt.

Die Formulierung „Return the bitcoin“ wurde Blockstream in Berichten zugeschrieben, die den Beitrag des Unternehmens zitieren. Unbestätigten Berichten zufolge erschien der genaue Wortlaut in Blockstreams ursprünglicher Stellungnahme auf X. Dieser Beitrag konnte anhand der verfügbaren Belege jedoch nicht unabhängig verifiziert werden.

Blockstream erklärte, im Fall einer ausbleibenden Rückgabe der Gelder mit Strafverfolgungsbehörden, Börsen, Dienstleistern und forensischen Spezialisten zusammenarbeiten zu wollen. Eine namentlich genannte Behörde, ein Aktenzeichen oder eine gerichtliche Einreichung wurde nicht bestätigt.

Rund 598,5 BTC sind weiterhin ausstehend

Die häufig genannte Zahl von rund 600 BTC bezeichnet den Teil der gestohlenen Gelder, der nach der Rückgabe eines Teils der Bitcoin weiterhin aussteht. Berichten zufolge beläuft sich der ausstehende Betrag auf etwa 598,5 BTC. Die Angabe von 600 BTC ist daher gerundet und kein exakter Wallet-Saldo.

Crypto.news berichtete, dass am 7. September 2026 3.400 BTC an die Federation-Wallet von Liquid zurückgegeben wurden. Die Federation ist die Gruppe von Unternehmen, die das Netzwerk gemeinsam verwaltet.

Der Vorfall begann mit einem Softwarefehler. SideSwap, eine auf Liquid basierende Börse, erklärte, ein Konsensfehler in Elements, der hinter Liquid stehenden Software, habe es ermöglicht, am 6. September 2026 nicht gedeckte L-BTC zu erzeugen. L-BTC ist die Liquid-Version von Bitcoin und soll im Verhältnis 1:1 durch echte BTC gedeckt sein.

Die nicht gedeckten L-BTC wurden anschließend gegen Bitcoin getauscht. SideSwap identifizierte eine unausgeglichene Mint-Transaktion in Liquid-Block 4.050.336 um 13:53 UTC. Nach Angaben von SideSwap gaben die Unterzeichner der Federation etwa eine halbe Stunde später 3.996,02 BTC frei. Der Dienst leitete nahezu alle diese Gelder – 3,99599999857 BTC – im selben Block an den Angreifer weiter.

Damit verließen in einer einzigen Transaktionssequenz beinahe 4.000 BTC das System. Eine frühere Berichterstattung von CoinLineup beschrieb den anfänglichen Bitcoin-Abfluss aus der Liquid-Federation, als der Vorfall erstmals bekannt wurde: Als Sicherheitsvorfall gemeldeter Bitcoin-Abfluss aus der Liquid-Federation.

SideSwap legt operative Schwachstellen offen

SideSwap räumte ein, dass sein Auszahlungsdesign versagt habe. Die Börse erklärte, ihr Autorisierungsschlüssel sei online gewesen, Auszahlungen seien automatisiert erfolgt und die Verarbeitungskette habe keine Prüfungen für Ordergröße, Rate, Geschwindigkeit, Bestand und Wallet-Alter umfasst.

SideSwap identifizierte außerdem 70 ausgeglichene Testtransaktionen vor der einzelnen unausgeglichenen Mint-Transaktion. Das Unternehmen warnte jedoch, dass nicht alle der früheren Wallets dem Angreifer zugeordnet werden könnten.

Als allgemeiner Marktkontext wurde Bitcoin während des Recherchezeitraums bei etwa 77.277 $ gehandelt und lag an diesem Tag rund 0,8 % im Minus, laut CoinGecko. Diese Kursangabe dient dem allgemeinen Marktkontext und belegt nicht, dass der Exploit die Bewegung verursacht hat.

Wiederherstellung und Betriebsstatus bleiben unklar

Die Ablehnung eines Lösegelds bedeutet nicht, dass die fehlenden Bitcoin wiedererlangt wurden. Die verfügbaren Belege bestätigen Blockstreams Ablehnung, zeigen jedoch keine unabhängig verifizierte Wiedererlangung der ausstehenden Coins. Eine Frist oder ein offizieller Wiederherstellungsplan wurde nicht veröffentlicht.

Die wichtigsten zu beobachtenden Entwicklungen sind unabhängig überprüfbare Bewegungen der ausstehenden Bitcoin, eine bestätigte Mitteilung über deren Wiedererlangung sowie Änderungen beim Peg- und Rücknahmestatus von Liquid. Bis solche Informationen veröffentlicht werden, sollten die zurückgegebenen 3.400 BTC und die weiterhin ausstehenden rund 598,5 BTC als getrennte Beträge betrachtet werden.

Der Vorfall beeinträchtigte auch den Betrieb von Liquid. Unchained berichtete, dass Peg-Operationen – also der Prozess, Bitcoin in Liquid hinein- und aus Liquid herauszubewegen – zum Zeitpunkt der Berichterstattung ausgesetzt waren. SideSwap erklärte später, dass seine Märkte wieder geöffnet worden seien, während Rücknahmen von L-BTC weiterhin pausiert hätten. Der Betriebsstatus kann sich daher schnell ändern. CoinLineup berichtete hier über das Update: SideSwap-Märkte öffnen wieder, während L-BTC-Rücknahmen ausgesetzt bleiben.

Die Nutzer waren zudem dem Risiko von Betrugsversuchen ausgesetzt. Blockstream warnte am 9. September, dass sich Betrüger den Vorfall zunutze machten. Das Unternehmen erklärte, es werde Nutzer niemals auffordern, Gelder zu verschieben, Wiederherstellungsphrasen einzugeben, Vermögenswerte erneut zu pegen oder per E-Mail zugesandte Software zu installieren.

Personen, die Bitcoin auf einer Börse oder in einer persönlichen Wallet halten, sind nach den verfügbaren Informationen nicht direkt vom Liquid-Exploit betroffen. Nutzer sollten sich bei Aktualisierungen auf offizielle Kanäle stützen und jede Nachricht, in der eine Wiederherstellungsphrase angefordert wird, als Betrugsversuch behandeln – unabhängig davon, wessen Identität sie vorgibt zu vertreten.

Der Vorfall wurde außerdem damit verglichen, wie die Verwahrung von Token den Ausgang der NES-Wiederherstellung nach deren Exploit beeinflusste: NES-Wiederherstellung nach Exploit und Token-Verwahrung.