Sicherheitsvorfall im Liquid Network: Fast 4.000 BTC bei nicht autorisiertem Peg-Out verschoben – angebliche „White Hats“ übernehmen Verantwortung
Wichtige Erkenntnisse
- •Rund 3.996 BTC im Wert von etwa 320 Millionen US-Dollar wurden aus dem Bitcoin-Wallet der Liquid Federation abgezogen; das Netzwerk bestätigte die Sicherheitsverletzung am 6. September.
- •Die Verursacher der Übertragung betteten eine OP_RETURN-Nachricht ein, in der sie sich als White Hats bezeichneten – diese Einordnung bleibt jedoch unbelegt, bis die Gelder zurückgegeben werden.
- •Liquid erklärte, dass die Abhebung den Peg-out Authorization Key von SideSwap nutzte, obwohl der Schlüssel selbst nicht kompromittiert wurde – offen bleibt, wo der Kontrollpfad versagte.
- •Das gestufte Föderationsdesign verlangt für die Ausgabe von Föderations-Bitcoin eine Watchman-Schwelle von mehr als zwei Dritteln – weshalb ein nicht autorisierter Peg-Out dieser Größe Fragen aufwirft.
- •Laut TRM Labs machten Infrastruktur- und Betriebsschwachstellen im ersten Halbjahr 2026 rund 76 % der monetären Verluste durch Crypto-Hacks aus.
Das Liquid Network bestätigte am Sonntag, dem 6. September, eine Sicherheitsverletzung, nachdem fast 4.000 BTC – im Wert von rund 320 Millionen US-Dollar – aus dem Bitcoin-Wallet der Liquid Federation entnommen worden waren.
Ein Peg-Out, den die Föderation nach eigenen Angaben nicht autorisiert hat
Die Partei hinter der Übertragung hinterließ eine On-Chain-Nachricht. Ein OP_RETURN mit dem Text „we are whitehats. contact us on chain“ erscheint in der Bitcoin-Transaktion „c103de…e69a19“.
In seinem Beitrag auf X erklärte Liquid, „angebliche White-Hat-Hacker“ hätten die Coins abgezogen, und dass Blockstream versuche, sie mit einer signierten Nachricht On-Chain zu kontaktieren. Blockstream ist das Unternehmen, das Liquid entwickelt hat – eine Bitcoin-Sidechain, deren föderierte Mitglieder – darunter Börsen und Finanzinstitute – gemeinsam Peg-ins und Peg-outs abwickeln.
ErgoBTC identifizierte die große Bitcoin-Auszahlung als Transaktion „8db751…a7b140“. Sie übertrug rund 3.996 BTC an „bc1qgs…c6wt7p“ und wurde am 6. September um 14:28:56 UTC im Bitcoin-Block 965.783 bestätigt.
Auf der Liquid-Seite zeigt der Explorer von Blockstream die zugehörige Transaktion „ce4cae…e988f2“ mit einem Peg-Out von 3.996,01834922 LBTC.
Liquid gibt an, dass die Abhebung den Peg-out Authorization Key (PAK) von SideSwap verwendete, obwohl der SideSwap-PAK selbst nicht kompromittiert wurde. Diese Unterscheidung ist entscheidend für das Verständnis des Geschehens.
Was ein PAK verhindern soll
Liquid nutzt einen Two-Way-Peg zwischen Bitcoin und seiner Sidechain. Nutzer sperren BTC, um Liquid Bitcoin (LBTC) zu erzeugen, und verbrennen anschließend LBTC, um das zugrunde liegende Bitcoin freizugeben – so die Entwicklerdokumentation von Liquid.
Peg-outs werden durch einen Peg-out Authorization Key kontrolliert. Laut Dokumentation ist der PAK so konzipiert, dass „selbst wenn eine Gruppe von Funktionären kompromittiert würde, sie die Guthaben der Nutzer nicht an adressen lenken könnte, die von Angreifern kontrolliert werden“.
Wenn der gültige SideSwap-PAK verwendet wurde und der Schlüssel nicht kompromittiert war, stellt sich die Hauptfrage, wo genau im Kontrollpfad der Fehler auftrat. Die bisherigen Beweise deuten nicht darauf hin, dass mit Bitcoin selbst etwas nicht stimmt.
Wie in der technischen Dokumentation von Liquid dargelegt, verlangt das Konzept der Strong Federation mindestens zwei Drittel der Block-Signer zur Blockgenehmigung, während für die Ausgabe von Bitcoins im Besitz der Föderation eine Watchman-Schwelle von mehr als zwei Dritteln erforderlich ist. Dieses gestufte Design soll nicht autorisierte Peg-outs erschweren – genau deshalb wirft ein derart großer Peg-Out, den die Föderation nach eigenen Angaben nicht autorisiert hat, die Frage auf, welche Sicherheitsvorrichtung versagt hat.
„White Hat“ ist eine Behauptung, kein Urteil
Es wäre voreilig, die Beteiligten allein aufgrund ihrer eigenen Aussage als White Hats einzustufen. Zuvber wurde berichtet, dass TAC, ein Protokoll für dezentrale Cross-Chain-Transaktionen, einen Hack über rund 2,8 Millionen US-Dollar als White-Hat-Aktion behandelte – allerdings erst, nachdem der Hacker eine Beteiligung von 10 % akzeptiert und den Rest zurückgegeben hatte.
Bis die BTC von Liquid zurückgegeben werden, bleibt „White Hat“ eine Behauptung und kein Fakt.
Auch die Marktauswirkungen sind komplizierter, als die Schlagzeilenzahlen vermuten lassen. On-Chain verschobenes BTC bedeutet nicht zwangsläufig, dass ein Verkaufsdruck entsteht. Das hängt davon ab, ob die Gelder Börsen erreichen – und es gibt derzeit keine Belege dafür, dass dies der Fall ist.
Der größere Test: Vertrauen in föderierte Bridges
Laut dem Bericht von TRM Labs machten infrastruktur- und betriebsbezogene Schwachstellen im ersten Halbjahr 2026 etwa 15 % der Vorfälle aus, jedoch einen überwältigenden Anteil von 76 % der gesamten Verluste in monetärer Hinsicht. Dies zeigt, dass sicherheits- und bridgebezogene Störungen die Auswirkungen monatelanger kleinerer Exploits überwiegen können.
Ein im Juli 2026 veröffentlichtes Paper von Heritage Falodun und Samson Ojo stellt fest, dass nur etwa 0,8 % des umlaufenden BTC in DeFi eingesetzt sind, verglichen mit bis zu 30 % bei Ethereum. Die Autoren legen nahe, dass Vertrauen und institutionelle Infrastruktur die Hauptgründe dafür sind, dass kein Kapital in Bitcoin fließt.
Darüber hinaus betont die Roadmap von Blockstream aus dem Mai, die Branche müsse ihre Abhängigkeit von vertrauensbasierten Systemen verringern. Insbesondere entwickelt das Unternehmen ein BitVM-1-of-n-Bridge-Modell. Sollten föderierte Designs weiterhin Vorfälle wie diesen hervorrufen, gewinnt diese Arbeit erheblich an Bedeutung.
Es bleibt abzuwarten, wie die an der Abhebung beteiligten Parteien auf Blockstream reagieren und ob die fast 4.000 BTC zurückgegeben, unverändert gehalten oder auf Börsen verschoben werden.
Vorerst ist die Situation nicht nur ein Test der Sicherheit von Liquid, sondern ein Test des Vertrauens, das Bitcoin-Nutzer in föderierte Bridges setzen.
