Blockstreams Liquid-Sidechain nach Abzug von 320 Millionen Dollar in Bitcoin durch „angebliche White-Hat-Hacker“ pausiert
Wichtige Erkenntnisse
- •Rund 4.000 BTC im Wert von etwa 320 Millionen Dollar verließen die Föderations-Wallet von Liquid, nachdem ein Angreifer unbesicherte L-BTC schuf und sie über einen von SideSwap abgewickelten Peg-out einlöste.
- •Weder die Förierungsschlüssel noch die Systeme von SideSwap wurden kompromittiert; die Ursache war eine Schwachstelle in der Open-Source-Software Elements, die fünf Wochen zuvor Upstream behoben, aber von den Föderationsmitgliedern noch nicht eingespielt worden war.
- •Die sich als White Hats bezeichnenden Angreifer boten die Rückgabe des Großteils der Gelder unter der Bedingung an, dass Blockstream die Schwachstelle behebt und jeden Knoten aktualisiert – von Blockstream per On-chain-Nachrichten bestätigt.
- •Das Guthaben der Föderations-Wallet sank von etwa 4.200 BTC auf rund 200 BTC, etwa 5 Prozent des früheren Bestands; das Liquid-Netzwerk bleibt bis zur sicheren Wiederaufnahme pausiert.
- •Andere Assets auf Liquid, darunter USDT und tokenisierte Real-World-Assets, blieben unberührt, und das Bitcoin-Netzwerk selbst ist nicht betroffen.
Blockstreams Liquid-Sidechain ist seit Sonntag pausiert, nachdem rund 4.000 BTC im Wert von etwa 320 Millionen Dollar die Föderations-Wallet verlassen haben, die jeden im Umlauf befindlichen L-BTC besichert.
Liquid, 2018 von Blockstream gestartet, ist eine föderierte Bitcoin-Sidechain, die hauptsächlich von Börsen und Handelsfirmen für schnellere Abwicklung und ausgegebene Assets genutzt wird; die L-BTC-Token sollen eins zu eins durch Bitcoin in der Föderations-Wallet besichert sein – deshalb treffen unbesicherte L-BTC den Kern des Versprechens des Netzwerks direkt.
SideSwap, ein Föderationsmitglied, das einen Peg-out-Dienst betreibt, gab an, dass ein Kunde ihm um 14:05 UTC 4.000 L-BTC gesendet habe. Die Token wurden unter einer gültigen Autorisierung verbrannt, und 23 Minuten später zahlte die Föderation 3.996 BTC aus.
We are aware of a security incident on @Liquid_BTC . Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds… — Liquid Network 🌊 (@Liquid_BTC) September 6, 2026
Liquid erklärte, die Gelder seien über SideSwaps Peg-out-Autorisierungsschlüssel bewegt worden, doch weder dieser Schlüssel noch ein anderer Föderationsschlüssel sei kompromittiert worden. Auch SideSwap erklärte, dass keines seiner Systeme verletzt worden sei, und verwies stattdessen auf eine Schwachstelle in Elements, der Open-Source-Software, auf der Liquid basiert.
Blockstream hat die Schwachstelle nicht erläutert, obwohl eine Fix fünf Wochen zuvor zur zugrunde liegenden Liquid-Software hinzugefügt worden war (Elements-Commit). Nichts wurde mit Gewalt aus der Wallet entnommen: Jemand erschuf L-BTC, die von keinem Bitcoin besichert waren, und löste sie anschließend über einen gewöhnlich aussehenden Peg-out ein. Diese Lücke zwischen dem Upstream-Erscheinen des Fixes und der tatsächlichen Nutzung gepatchter Software durch die Föderationsmitglieder ist die unmittelbare Frage, die über dem Vorfall schwebt.
Die Wallet hielt vor Sonntag rund 4.200 BTC und danach etwa 200 – ungefähr 5 Prozent des früheren Guthabens.
Im Gespräch mit den angeblichen White Hats
Die Partei hinterließ eine On-chain-Nachricht mit dem Inhalt „we are whitehats. contact us on chain.“ (Transaktion) Blockstream antwortete eine Stunde später mit einer E-Mail-Adresse, und seither haben beide Seiten PGP-signierte Nachrichten in Bitcoin-Transaktionen ausgetauscht.
Die Hacker boten die Rückgabe des Großteils der Coins an und knüpften daran eine Bedingung: zuerst die Schwachstelle beheben, da die Kette beim aktuellen Commit weiterhin gefährdet sei, und jeden Knoten aktualisieren. Blockstreams Antwort – „Yes, thank you“ – bezog sich auf das frühere Angebot und wurde im selben Block wie die Bedingung bestätigt. Der Ausgang hängt nun davon ab, ob jeder Föderationsfunktionär rechtzeitig aktualisiert, damit die Kette sicher mit voll wiederhergestellter Besicherung fortgesetzt werden kann.
Charles Guillemet, Chief Technology Officer von Ledger, argumentierte zunächst, dass „White Hats keine Bridge leersaugen und dann einen ‚On-chain‘-Kontakt anfordern“, und verglich den Vorfall mit den Ronin- und Euler-Hacks – zwei der größten Exploits der Krypto-Geschichte, bei denen Angreifer Hunderte Millionen erbeuteten, bevor teilweise Rückführungen ausgehandelt wurden. Er ließ kurz durchblicken, es könne sich um Personen handeln, die „intensiv mit aktuellen LLMs gespielt“ hätten, verschärfte dann aber seinen Ton, sobald die Bedingung auftauchte: Die White-Hat-Praxis habe sich „verändert“, schrieb er, und fügte hinzu: „Now they steal the money and refuse to give back the funds before the vulnerability is fixed...“
Samson Mow, ehemaliger Sicherheitschef von Blockstream, der eine Zeitleiste des Austauschs veröffentlichte, beziffert die Adresse der Hacker auf etwa 3.998,5 BTC.
Andere Assets auf Liquid, darunter USDT, DePix und tokenisierte Real-World-Assets, blieben unberührt, und das Bitcoin-Netzwerk selbst ist nicht betroffen.
