主要ポイント

• Ledger CTOのCharles Guillemet氏は、Liquid Networkからペグアウトされた約3,996 BTC(約3億1,840万ドル相当)の実行者による「ホワイトハット」主張に異議を唱えた。
• Liquidによれば、ペグアウトはSideSwapのPeg-out Authorization Key(PAK)を通じて実行されたが、同キー自体および他の認証キーは侵害されていない。
• この転送はLiquidのビットコイン準備金の約95%に相当し、ネットワークの管理体制への審査が強まっている。
• Liquidはブリッジ活動を停止した。引き出されたBTCの大半は集中したまま保持されており、LBTCの裏付けは完全に維持されている。

Blockstreamが開発し、より迅速な決済と資産発行に用いられるビットコインのサイドチェーンであるLiquid Networkは、引き出しの実行者が自らを「ホワイトハット」と称した後、約4,000 BTCに関わる異常なペグアウトを調査している。Ledger CTOのCharles Guillemet氏はこの説明に公に異議を唱え、正当なセキュリティ研究者は通常、多額の担保を移動させる前に脆弱性を開示すると主張した。

Ledger CTO: 4,000 BTC Pegged Out of Liquid Bridge, "Whitehat" Claim Raises Doubts

Ledger CTO Charles Guillemet said about 4,000 BTC were pegged out of the Liquid bridge, with an OP_RETURN message stating, "we are whitehats. contact us on chain." He argued that white hats do not… pic.twitter.com/o0CHl4gyM4

— Wu Blockchain (@WuBlockchain) September 6, 2026

Xポスト

9月6日のトランザクションでは、ビットコインが約79,675ドルで取引される中、フェデレーション管理の準備金から約3,996 BTCが移動され、転送額は約3億1,840万ドルに相当した。その後のトランザクションには「we are whitehats. contact us on chain.」と記載されたOP_RETURNメッセージが含まれていた。

Liquidの3億1,800万ドル規模ペグアウトを受け、Ledger CTOがホワイトハット主張に異議

Guillemet氏は、通信を開始する前に数億ドル規模の資金を引き出す行為は、従来の脆弱性開示の慣行とは大きく異なると主張した。同氏の発言により、関心は転送そのものから、現在資金を管理する実行者の行動へと移った。

Ledger CTOはこの状況を、攻撃者が後に被害プロジェクトと通信した大規模なブリッジおよびプロトコル攻撃と比較し、2022年のRoninブリッジ攻撃と2023年のEuler Financeの攻撃を挙げた。Roninは検証者キーの窃取により不正な引き出しが行われ、6億ドル超を失った。Euler Financeは、当初約1億9,700万ドルが流出した攻撃の後、交渉を経て資産を回復した。クロスチェーンブリッジとサイドチェーンは暗号資産セキュリティインシデントの中で最も標的とされやすい分野に繰り返しランクインしており、Liquidの事案はこの傾向に直接関わるものである。

ただし、これらの歴史的な比較は、Liquid Networkの事案における悪意を立証するものではない。約4,000 BTCは急速に分散または資金洗浄されたという報告はなく、ペグアウト後も資金の大半は集中したまま残っている。また実行者は、ビットコインブロックチェーンを通じた接触を明確に求めている。

Blockstreamはその後、オンチェーンメッセージで応答し、資金を管理する当事者に対しセキュリティチームへの連絡を要請した。現時点で合意や資産返還の確認は報告されていない。中核的な未解決の問題は、実行者の「ホワイトハット」という説明が実際の行動と一致するかどうかであり、この主張は独立に検証されていない。

Liquid、3,996 BTCがどのようにペグアウトのセキュリティ管理を通過したかを調査

Liquid Networkはその後セキュリティインシデントを確認し、引き出しはSideSwapのPeg-out Authorization Key(PAK)を通じて行われたが、SideSwapのキー自体は侵害されていないと発表した。

Liquid Network confirmed a security incident, saying the funds were withdrawn via SideSwap's Peg-out Authorization Key (PAK), while the key itself and other keys were not compromised. Exchanges have been notified and have paused or will pause LBTC deposits and withdrawals. Other…

— Wu Blockchain (@WuBlockchain) September 6, 2026

Xポスト

他の認証キーも侵害されていないと報告された。この結果、トランザクションがどのようにLiquidの通常の引き出し要件を満たしたのかについて審査が強まっている。

Liquidはフェデレーション型のセキュリティモデルを採用している。15人のファンクショナーがネットワークを運営し、11-of-15のクォーラムがビットコインペグを管理している。通常の運用では、対応するBTCがフェデレーション管理の準備金から出る前にLBTCを破棄する必要があり、PAK制限はペグアウトを認可されたビットコインアドレスに限定することでさらなる防御層を提供している。トラスト最小化されたビットコイントランザクションとは異なり、このフェデレーション設計は認証権限を特定の運営者グループに集中させており、現在の調査の焦点はそこにある。

オンチェーン分析によれば、引き出しの際に対応するLBTCはバーン(焼却)されており、残りのLBTC供給は引き続き対応するビットコインの裏付けを維持している。この区別により、裏付けのないLBTC債務に対する即時の懸念は和らいだ。それでもなお、このトランザクションはLiquidのビットコイン準備金の約95%に相当していた。

Liquidは取引所に通知し、取引所はLBTCの入出金を停止または停止準備を行った。フェデレーションメンバーの調査継続中、ブリッジノードも一時的に無効化された。ネットワークによれば、USDT、DePix、トークン化された実物資産などの資産は影響を受けていない。

現在の調査は2つの未解決の問題に焦点を当てている。認証プロセスがどのようにペグアウトを許可したのか、そして引き出されたBTCが返還されるのかどうかである。無傷の認証キーと、承認を通過した引き出しとの間のギャップをLiquidとBlockstreamがどう説明するかは、今後の同ネットワークのフェデレーションモデルに対する信頼を左右するとみられる。

出典:Blockonomi