Liquid Network stoppt den Betrieb, nachdem White-Hat-Hacker 4.000 BTC aus der Federations-Wallet abgezogen haben
Wichtige Erkenntnisse
- •Selbsternannte White-Hat-Halker zogen am 6. September rund 4.000 BTC im Wert von etwa 320 Millionen US-Dollar aus der Liquid-Federations-Wallet ab – etwa 95 Prozent der gemeldeten Bitcoin-Reserven des Netzwerks.
- •Liquid schaltete seine Bridge-Nodes ab; Börsen wurden informiert und setzten die Annahme und Auszahlung von LBTC aus oder bereiteten dies als Reaktion auf die Sicherheitsverletzung vor.
- •Liquid erklärte, dass keine Schlüssel kompromittiert wurden, auch nicht der Peg-out Authorization Key, über den der Abzug abgewickelt wurde; die zugrunde liegende Schwachstelle wurde nicht offengelegt.
- •Blockstream versuchte, die mutmaßlichen White-Hat-Hacker über eine signierte Nachricht auf der Bitcoin-Blockchain zu kontaktieren, nachdem die Akteure on-chain eine Notiz hinterlassen hatten, in der sie sich als Whitehats bezeichneten.
- •Die Sidechain bleibt offline, bis das Problem gelöst ist; auf dem Netzwerk ausgegebene Vermögenswerte wie USDT, DePix und Fiatwährungen waren von der Sicherheitsverletzung nicht betroffen.
Das Liquid Network hat am Sonntag den Betrieb eingestellt, nachdem selbsternannte White-Hat-Hacker rund 4.000 Bitcoin (BTC) aus seiner Federations-Wallet abgezogen hatten – ein Betrag von etwa 320 Millionen US-Dollar zum Zeitpunkt des Vorfalls. Liquid machte das Sicherheitsereignis vom 6. September in einem Beitrag auf X öffentlich.
We are aware of a security incident on @Liquid_BTC. Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds… — Liquid Network 🌊 (@Liquid_BTC) September 6, 2026
https://x.com/Liquid_BTC/status/2096696272447218108
Der Abzug machte etwa 95 Prozent der gemeldeten Bitcoin-Reserven des Netzwerks aus. Vor dem Vorfall hielt die Federations-Wallet rund 4.200 BTC. In seiner Mitteilung bestätigte Liquid nicht, dass die Gelder zurückgegeben werden. „White Hat“ ist ein Begriff aus der Sicherheitsbranche für Akteure, die Schwachstellen ausnutzen und behaupten, die entwendeten Gelder zurückzugeben oder die Lücke offenzulegen. Frühere Vorfälle mit selbsternannten White Hats endeten mit unterschiedlichen Ausgängen, sodass die Bezeichnung allein keine Garantie für eine Rückerstattung darstellt.
Was über die White-Hat-Hacker bekannt ist
Eine mit dem Vorfall verbundene Bitcoin-Transaktion enthielt eine On-chain-Nachricht mit dem Inhalt: „We are whitehats. Contact us on chain.“
Blockstream, das Unternehmen, das die Infrastruktur von Liquid entwickelt, versuchte, die mutmaßlichen White-Hat-Hacker über eine signierte Nachricht auf der Bitcoin-Blockchain zu kontaktieren. Weder die beteiligten Parteien noch die Einzelheiten der Kommunikation wurden offengelegt.
Liquid erklärte, dass der Abzug über den Peg-out Authorization Key abgewickelt wurde, der allgemein als PAK bekannt ist. Das Unternehmen teilte mit, dass der PAK-Schlüssel ebenso wie alle anderen Schlüssel nicht kompromittiert wurde.
Der PAK beschränkt die Peg-out-Funktion auf registrierte Konten und genehmigte Bitcoin-Adressen. Diese Beschränkung legt fest, wohin die Föderation BTC bei einer Auszahlung senden darf. Dass die Gelder ohne Kompromittierung eines Schlüssels bewegt wurden, deutet darauf hin, dass das Problem eher in der Art und Weise liegen könnte, wie der Peg-out-Prozess ausgelöst wurde, als in einem Diebstahl von Schlüsseln. Allerdings hat Liquid keine Details zur Schwachstelle veröffentlicht, sodass eine solche Schlussfolgerung derzeit nicht gezogen werden kann.
Zu der Schwachstelle, die die mutmaßlichen White-Hat-Hacker ausgenutzt haben, liegen keine Informationen vor.
Warum hat Liquid den Netzwerkbetrieb ausgesetzt?
Als Reaktion auf den Vorfall schaltete Liquid seine Bridge-Nodes ab, sodass Nutzer keine Transaktionen mehr an das Blockchain-Netzwerk senden konnten. Bridge-Nodes verbinden die Knoten der Nutzer mit den Funktionärsservern der Föderation. Das Abschalten von Bridge-Nodes ist eine übliche Eindämmungsmaßnahme bei föderierten Sidechains, da es – anders als bei Bitcoin selbst – kein unabhängiges Minernetzwerk gibt, das Transaktionen weiter validiert, wenn die Betreiber der Föderation ihre Beteiligung zurückziehen.
Kryptowährungsbörsen wurden über die Sicherheitsverletzung informiert und hatten laut der Mitteilung die Annahme und Auszahlung von LBTC bereits eingestellt oder bereiteten dies vor. Da LBTC nur solange zum Paritätskurs gegenüber BTC gehandelt wird, wie dem Peg vertraut wird, übt eine längere Aussetzung von Peg-outs typischerweise Druck auf Börsen und Nutzer aus, die das Sidechain-Asset halten – wie bereits bei früheren Ausfällen anderer Wrapped- oder föderierter Bitcoin-Produkte zu beobachten war.
Liquid teilte mit, dass die auf der Sidechain ausgegebenen USDT, DePix und Fiatwährungen von der Sicherheitsverletzung nicht betroffen waren, wobei Beeinträchtigungen bei den Wallets erwartet werden.
Die Föderationsmitglieder arbeiten an einer Lösung des Problems und an der Wiederaufnahme des Betriebs. Laut der Mitteilung bleibt die Sidechain offline, bis die Angelegenheit geklärt ist. Zu den offenen Fragen für Beobachter zählen, ob der On-chain-Dialog zwischen Blockstream und den mutmaßlichen White Hats zu einer Rückgabe der Gelder führt, ob die Schwachstelle offengelegt wird und wie die Föderation ihre Peg-out-Kontrollen vor dem Wiederanlauf verändert.
Wie sichert Liquid seine Bitcoin-Reserven?
Der abgezogene Bitcoin war Teil der Reserven des Liquid Networks. Im normalen Betrieb zahlen Nutzer BTC in die Federations-Wallet ein und erhalten dafür eine entsprechende Menge an LBTC – ein Vorgang, der als Peg-in bezeichnet wird. Beim umgekehrten Vorgang, dem Peg-out, muss ein Föderationsmitglied die LBTC vernichten, bevor der Bitcoin freigegeben wird. Nutzer, die einen Liquid-Node betreiben, können die LBTC-Menge anhand des von der Föderation gehaltenen Bitcoin überprüfen.
Laut der Dokumentation von Blockstream halten 15 Föderationsmitglieder Schlüssel zur Reserve-Wallet, die in Hardware-Sicherheitsmodulen verwahrt werden. Damit Bitcoin die Wallet verlassen kann, müssen 11 Mitglieder eine Standard-Peg-out-Transaktion signieren. Dieses Multi-Signatur-Design ist ein Vertrauensmodell, das sich von Bitcoins Proof-of-Work unterscheidet: Die Sicherheit hängt von der Integrität und der betrieblichen Disziplin der Föderationsmitglieder ab und nicht von wirtschaftlichen Anreizen für anonyme Miner.
Liquid basiert auf Elements, einer Open-Source-Softwareplattform, die auf dem Bitcoin-Protokoll aufbaut. Anders als Bitcoin stützt es sich für die Blockbestätigung auf die Signaturen der Föderationsmitglieder statt auf Miner; unter normalen Bedingungen entstehen Blöcke im Minutentakt.
Das Netzwerk unterstützt zudem Token, die verschiedene Assettypen repräsentieren, etwa Fiatwährungen und Wertpapiere. Confidential Transactions verbergen Überweisungsbeträge und Assettypen vor Dritten, und LBTC dient zur Zahlung der Transaktionsgebühren.
Das Projekt wurde 2018 gegründet, um Transfers zwischen Börsen, Brokern und anderen Nutzern zu beschleunigen. Der erste Block von Liquid wurde am 27. September gemined; die offizielle Ankündigung folgte am 10. Oktober. Zum Start hatte das Netzwerk 23 Teilnehmer, darunter Bitfinex, OKCoin, BitMEX und SIX Digital Exchange. Die ursprüngliche Transaktionsabwicklungszeit betrug zwei Minuten.
