Blockstream lehnt Lösegeldforderung für die nach dem Liquid-Hack fehlenden Bitcoin im Wert von 47 Millionen US-Dollar ab
Wichtige Erkenntnisse
- •Blockstream kündigte öffentlich an, kein Lösegeld für etwa 598,5 BTC im Wert von rund 47 Millionen US-Dollar zu zahlen, die nach dem Exploit im Liquid Network weiterhin gehalten werden, und bezeichnete die Handlung als Diebstahl statt als White-Hat-Aktivität.
- •Die Angreifer nutzten eine Schwachstelle bei der Zwischenspeicherung von Range-Proof-Verifizierungen durch Liquid-Nodes aus, um ungedeckte L-BTC zu erzeugen und rund 4.000 BTC im Wert von etwa 320 Millionen US-Dollar abzuziehen. Am Montag wurden 3.400 BTC zurückgegeben.
- •Blockstream behob die betroffenen Bridge-Nodes innerhalb von 10 Stunden und veröffentlichte Elements v23.3.4. Dadurch konnte Liquid am Donnerstag die Blockproduktion wieder aufnehmen, während Peg-outs vorsorglich deaktiviert bleiben.
- •Die Angreifer forderten 10 % der Vermögenswerte als Bug-Bounty und drohten mit einem Verlust von 15 % für Anleger. Sie behaupteten, Blockstream habe unzureichende Mittel zur Absicherung von Vermögenswerten im Wert von rund 5 Milliarden US-Dollar bereitgestellt.
- •Blockstream erklärte, gemeinsam mit Strafverfolgungsbehörden, Börsen und forensischen Spezialisten jeden rechtmäßigen Weg zu verfolgen und die fehlenden Gelder nicht aus Nutzervermögen zu ersetzen.
Blockstream erklärte, dass es kein Lösegeld für die Rückgabe von etwa 598,5 BTC zahlen werde, die nach dem Exploit im Liquid Network weiterhin fehlen und rund 47 Millionen US-Dollar wert sind. Damit beendet das Unternehmen tagelange Verhandlungen mit den Personen, die die Gelder entwendet haben.
Die Angreifer zogen am Sonntag rund 4.000 BTC aus der Liquid-Sidechain ab, deren Wert zu diesem Zeitpunkt etwa 320 Millionen US-Dollar betrug. Am Montag gaben sie 3.400 BTC beziehungsweise rund 85 % der gestohlenen Summe zurück. Die verbleibenden 598,5 BTC befinden sich weiterhin an der Adresse, an die sie abgezogen wurden, und wurden nicht bewegt.
„Das unbefugte Entnehmen von Vermögenswerten und das Zurückhalten ihrer Rückgabe ist ein Verbrechen und keine verantwortungsvolle Offenlegung“, erklärte Blockstream am Freitag. „Es handelt sich nicht um White-Hat-Aktivität. Es ist Diebstahl.“
In einem Beitrag auf X wandte sich Blockstream an die Verantwortlichen für den Diebstahl:
To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026
https://x.com/Blockstream/status/2098281867908690394?ref_src=twsrc%5Etfw
Der Exploit nutzte eine Schwachstelle in der Art und Weise aus, wie Liquid-Nodes Verifizierungen von Range-Proofs zwischenspeicherten. Die Sicherheitslücke ermöglichte es den Angreifern, ungedeckte L-BTC zu erzeugen und diese über SideSwap gegen Reserve-Bitcoin zu tauschen. SideSwap ist ein Mitglied der Föderation, das über einen Autorisierungsschlüssel für Peg-outs verfügte. Die Reserve von Liquid sank daraufhin auf 197 BTC.
Blockstream behob die Bridge-Nodes innerhalb von 10 Stunden und veröffentlichte am Mittwoch Elements v23.3.4. Liquid nahm am Donnerstag die Blockproduktion und die Verarbeitung von Transaktionen wieder auf, obwohl Peg-outs vorsorglich deaktiviert bleiben, während „die letzte Phase der Wiederherstellung“ andauert. Peg-outs sind der Mechanismus, über den L-BTC gegen in der Liquid-Reserve gehaltene Bitcoin getauscht werden. Ihre Deaktivierung verhindert daher diese Umwandlung, während die Wiederherstellungsarbeiten fortgesetzt werden. Das Unternehmen warnte außerdem, dass Betrüger Node-Betreiber mit gefälschten Update-Websites ins Visier nähmen.
Der am Dienstag veröffentlichte Vorfallbericht von Liquid bezeichnete die Angreifer als „White-Hat-Hacker“ und erklärte, das Projekt koordiniere sich mit der betreffenden Person, um das Netzwerk wieder zu starten. Blockstream erklärte, seine Teilnahme an diesen Gesprächen „sollte nicht als Zustimmung zu den ergriffenen Maßnahmen oder zu den geforderten Bedingungen missverstanden werden“.
Die Forderungen wurden am Mittwoch in einer Bitcoin-Transaktion öffentlich gemacht. Die Angreifer behaupteten, Blockstream habe „nur 1,5 Millionen US-Dollar (vielleicht sogar 0) zur Absicherung von Vermögenswerten im Wert von 5 Milliarden US-Dollar“ bereitgestellt, und bezeichneten dies als „eklatante Vernachlässigung der Sicherheit“. Sie forderten 10 %, „unter Verwendung eures eigenen Geldes als Bug-Bounty“, oder warnten: „Ihr werdet allen euren Anlegern wegen eurer Verantwortungslosigkeit und Geizigkeit einen Verlust von 15 % zufügen.“
Blockstream will keinen Präzedenzfall für Lösegeldzahlungen schaffen
Blockstream erklärte, es werde nicht „Teil des Präzedenzfalls sein, dass Open-Source-Software, die zum Wohl der Bitcoin-Community entwickelt wurde, ihre Entwickler dazu zwingen sollte, ein Lösegeld zu zahlen, das ihre wirtschaftliche Beteiligung bei Weitem übersteigt“.
Das Unternehmen erklärte außerdem, dass es die Lücke nicht mit Geldern der Nutzer schließen werde. „Bitcoin ist hartes Geld und kann nicht ohne Kosten geschaffen werden“, hieß es. „Bitcoin nimmt Nutzern keinen Teil ihres Vermögens weg, um ein Lösegeld zu zahlen.“
Falls die verbleibenden Bitcoin nicht zurückgegeben werden, werde Blockstream „jeden rechtmäßigen Weg“ gemeinsam mit Strafverfolgungsbehörden, Börsen und forensischen Spezialisten verfolgen. „Transaktionen verschwinden nicht, ebenso wenig wie die Beweise, die sie hinterlassen“, erklärte das Unternehmen und schloss mit den Worten: „Gebt die Bitcoin zurück.“
Quelle: Decrypt
