Ein selbsternannter White-Hat-Hacker hat 3.400 BTC an die Federations-Wallet des Liquid Network zurückgegeben, nachdem Blockstream bestätigt hatte, dass die Sicherheitslücke geschlossen wurde. Allerdings befinden sich noch fast 47 Millionen US-Dollar in Bitcoin in den Händen des Akteurs – und kein öffentliches Bounty-Abkommen erklärt, warum.

Die 598,5 BTC, die weiterhin unter der Kontrolle des Akteurs stehen, entsprechen etwa 15 % der rund 4.000 BTC, die am 6. September aus der Federations-Wallet abgezogen wurden. Keine öffentliche Erklärung von Blockstream oder der Liquid Federation hat bestätigt, dass die zurückbehaltenen Bitcoin offiziell als Belohnung angeboten wurden.

Die Rückgabe folgte auf eine Reihe von On-Chain-Nachrichten zwischen dem Hacker und Blockstream. In diesen Nachrichten ging es um die Behebung der Schwachstelle und das Patchen der Netzwerkknoten, doch ein Lösegeld- oder Bounty-Betrag wurde öffentlich nicht genannt.

White-Hat-Hacker behält 47 Millionen US-Dollar vom Liquid Network

Die Entscheidung, 598,5 BTC zu behalten, hat Kritik von Branchenbeobachtern hervorgerufen. Charles Guillemet, CTO von Ledger, stellte auf X fest, dass sich die verbleibenden Mittel weiterhin unter der Kontrolle des selbsternannten White Hats befanden.

Er deutete an, dass das Verhalten eher an Erpressung als an konventionelle White-Hat-Sicherheitsarbeit erinnern könnte, falls die Mittel als Druckmittel im Rahmen einer kryptografischen On-Chain-Vereinbarung zurückgehalten wurden.

So, 3,400 BTC were refunded. The "white hats" still hold 600 BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking! Let's see what happens to these 600 BTC… pic.twitter.com/BBKLrMVsqd — Charles Guillemet (@P3b7_) September 7, 2026

Auch andere in der Krypto-Community haben die Bezeichnung „White Hat" infrage gestellt. Sie argumentieren, dass konventionelle Sicherheitsforscher üblicherweise Schwachstellen offlegen oder sich mit betroffenen Projekten abstimmen, bevor sie große Geldbeträge bewegen. Kein formelles Bug-Bounty-Abkommen, das die zurückbehaltenen 598,5 BTC abdeckt, wurde von Blockstream oder der Liquid Federation veröffentlicht.

Der Bitcoin-Entwickler und Open-Source-Mitwirkende Miguel Medeiros fasste das Drama sarkastisch zusammen, nannte es die „beste Telenovela des Jahres 2026“ und sagte: „Es war besser als Breaking Bad.“

CONFIRMED. Block 965950, mined by Foundry. 3,400 BTC back in the Liquid federation wallet. Attacker keeps 598.5 BTC. 27 hours from the fork to the return. 11 rounds of OP_RETURN, PGP signatures, an Electrum tutorial and a accelerator. All settled… pic.twitter.com/7HisqMjqNW — Miguel Medeiros (@_miguelmedeiros) September 7, 2026

Liquid Network bleibt nach dem Bitcoin-Hack pausiert

Die Bridge-Knoten von Liquid sind Stand dem 8. September weiterhin deaktiviert, während Ein- und Auszahlungen von L-BTC auf mehreren Börsen ausgesetzt bleiben.

Blockstream teilte mit, dass aktualisierte Software bereitgestellt wurde und dass die Föderationsmitglieder einen koordinierten Netzwerk-Neustart vorbereiten.

Die Pause unterstreicht das betriebliche Design von Liquid selbst: Es handelt sich um eine von Blockstream entwickelte Bitcoin-Sidechain, die von einer Föderation von Mitgliedsorganisationen statt von Minern betrieben wird. Die Sicherheit hängt somit von den koordinierten Handlungen dieser Föderationsmitglieder und der Hardware ab, mit der sie Transaktionen signieren. Diese föderale Struktur ist der Grund, warum nach dem Abschalten der Netzwerkknoten ein koordinierter Neustart – und keine automatische Wiederherstellung – erforderlich ist.

Following the recent incident affecting the Liquid Network and the movement of funds, Blockstream, as Liquid's technical provider, and the Liquid Federation have been working diligently to resolve the ongoing situation and ensure the return of assets. Updated software has… — Blockstream (@Blockstream) September 8, 2026

White-Hat-Hacker haben zuvor schon Bountys behalten

Der Fall des Liquid Network ist in der Krypto-Branche nicht ohne Präzedenz. In mehreren prominenten Vorfällen durften Hacker, die den Großteil der gestohlenen Gelder zurückgaben, einen Teil als sogenannte White-Hat-Bounty behalten.

Beim Team-Finance-Exploit 2022 gab ein Angreifer rund 13,4 Millionen der gestohlenen 15,8 Millionen US-Dollar zurück und behielt etwa 10 %. Beim SafeMoon-Hack 2023 willigte der Angreifer ein, 80 % von knapp 9 Millionen US-Dollar zurückzugeben und die verbleibenden 20 % als Bounty zu behalten.

Ähnliche Vereinbarungen gab es auch beim Hack der Nomad-Bridge, bei dem das Projekt explizit eine Bounty von 10 % jedem anbot, der mindestens 90 % der Mittel zurückgab, sowie 2024 in einem Fall von Address Poisoning mit rund 72 Millionen US-Dollar in Wrapped Bitcoin, bei dem der Angreifer zusagte, 90 % zurückzugeben und 10 % zu behalten. Jüngerer Zeit haben auch GMX und Renegade 10-%-White-Hat-Bounty-Regelungen genutzt.

In diesen früheren Fällen wurde der vom Angreiferbehaltene Prozentsatz entweder vom Projekt ausdrücklich angeboten oder im Rahmen einer Einigung offen vereinbart – genau das unterscheidet sie von der Situation bei Liquid, wo die Bedingungen – sofern vorhanden – unveröffentlicht bleiben.

Warum die 15-%-White-Hat-Beteiligung beim Liquid Network wichtig ist

Es gibt in der Kryptobranche Präzedenzfälle dafür, dass White-Hat-Hacker einen Teil der wiedererlangten Mittel behalten – solche Vereinbarungen werden jedoch in der Regel ausgehandelt oder ausdrücklich als Bounty angeboten.

Der Fall des Liquid Network sticht hervor, weil der Hacker rund 15 % der Mittel – 598,5 BTC – ohne öffentlich bekanntes Abkommen behielt, das eine Bounty festlegt.

Der Fall wirft zudem ungeklärte Fragen zur Verantwortlichkeit in föderierten Systemen auf: Nutzer von L-BTC und Börsen, die auf das Netzwerk angewiesen sind, haben derzeit keine öffentliche Abrechnung darüber, was – wenn überhaupt – Blockstream oder die Föderation im Gegenzug für die Rückgabe der 3.400 BTC zugesagt haben. Ob die zurückbehaltenen Mittel jemals – formell oder informell – als Bounty bezeichnet werden, dürfte künftige Vorfallreaktionen zwischen Projekten und selbsternannten White Hats prägen.

Damit bleibt die zentrale Frage: Waren die zurückbehaltenen Bitcoin eine ausgehandelte Belohnung – oder schlicht Bitcoin, die der Hacker behalten wollte?