Liquid Networkへの侵入：約4,000 BTCが未承認のペグアウトで移動、「ホワイトハット」を名乗る当事者が関与か
重要ポイント
- •時価約3億2,000万ドルに相当する約3,996 BTCがLiquid FederationのBitcoinウォレットから引き出され、ネットワークは9月6日に侵害を確認した。
- •送金の当事者はホワイトハットを自称するOP_RETURNメッセージを埋め込んだが、資金が返還されるまでこの呼称は未検証である。
- •Liquidは、鍵自体は侵害されていないにもかかわらず、この送金にSideSwapのペグアウト承認キー（PAK）が使用されたと述べ、制御経路のどこで不具合が起きたかは不明のまま。
- •多層的なフェデレーション設計では、フェデレーション保有のBitcoinの使用に3分の2を超えるウォッチマンの閾値が必要であり、だからこそこの規模の未承認ペグアウトには疑問が残る。
- •TRM Labsによれば、2026年上半期のクリプトハッキングによる金銭的損失のうち約76%は、インフラおよび運用関連の脆弱性が占めた。
Liquid Networkは9月6日（日）、Liquid FederationのBitcoinウォレットから時価約3億2,000万ドルに相当する約4,000 BTCが引き出されたセキュリティ侵害を確認しました。
フェデレーションが通常の手続きでは承認していないペグアウト
送金の当事者はオンチェーンメッセージを残しました。Bitcoinトランザクション「c103de…e69a19」には、「we are whitehats. contact us on chain」というOP_RETURNが記録されています。
Xへの投稿でLiquidは、「自称ホワイトハットハッカー」がコインを引き出したと述べ、Blockstreamが署名済みメッセージでオンチェーンでの接触を試みていると説明しました。BlockstreamはLiquidを開発した企業であり、Liquidは取引所や金融機関を含むフェデレーション メンバーがペグインとペグアウトを集団的に処理するBitcoinサイドチェーンです。
ErgoBTCは、この大型のBitcoin送金をトランザクション「8db751…a7b140」と特定しました。このトランザクションは約3,996 BTCを「bc1qgs…c6wt7p」に送金し、9月6日14時28分56秒（UTC）にBitcoinブロック965,783で承認されました。
Liquid側では、Blockstreamのエクスプローラーが、3,996.01834922 LBTCのペグアウトを含む関連トランザクション「ce4cae…e988f2」を表示しています。
Liquidは、SideSwapのペグアウト承認キー（PAK）自体は侵害されていないにもかかわらず、この送金にそれが使用されたと述べています。この区別は、何が起きたのかを理解する上で極めて重要です。
PAKが防ぐはずだったもの
LiquidはBitcoinとそのサイドチェーンの間で双方向ペグを使用しています。Liquidの開発者ドキュメントによれば、ユーザーはBTCをロックしてLiquid Bitcoin（LBTC）を発行し、その後LBTCをバーンして元のBitcoinを引き出します。
ペグアウトはペグアウト承認キー（Peg-out Authorization Key）によって制御されます。ドキュメントによれば、PAKは「たとえ一部のファンクショナリーが侵害されても、ユーザーの資金を攻撃者が管理するアドレスに転送することはできない」ように設計されています。
有効なSideSwapのPAKが使用され、かつ鍵が侵害されていなかった場合、核心の疑問は、制御経路のどこでエラーが発生したのかという点になります。現時点の証拠は、Bitcoin自体に何らかの問題が発生したことを示していません。
Liquidの技術ドキュメントが示すように、Strong Federationの概念では、ブロックの承認にブロック署名者の最低3分の2の同意を要し、フェデレーション保有のBitcoinの使用には3分の2を超えるウォッチマンの閾値が必要です。この多層的な設計は未承認のペグアウトを困難にすることを目的としており、だからこそ、フェデレーションが承認していないと述べるこの規模のペグアウトは、どの防御策が機能しなかったのかという疑問を引き起こします。
「ホワイトハット」は主張であり、判決ではない
当事者自身の申告のみに基づいて彼らをホワイトハットと分類するのは早計です。以前に報告されたように、分散型クロスチェーン取引のプロトコルであるTACは、約280万ドルのハッキングをホワイトハット案件として処理しましたが、それはハッカーが報酬として10%の受け取りに同意し、残りを返還した後のことでした。
LiquidのBTCが返還されるまで、「ホワイトハット」は事実ではなく主張にとどまります。
市場への影響も、見出しの数字から推測されるよりも複雑です。BTCをオンチェーンで移動させることは、必ずしも売り圧力が発生していることを意味しません。それは資金が取引所に到達するかどうかに依存し、現時点でそれを示す引用された証拠はありません。
より大きな試練：フェデレーション型ブリッジへの信頼
TRM Labsのレポートによれば、2026年上半期のインシデントのうち、インフラおよび運用関連の脆弱性は約15%を占めるものの、金銭的損失額では圧倒的な76%を占めていました。これは、カストディおよびブリッジ関連の障害が、数か月にわたる小規模なエクスプロイトの影響を上回り得ることを示しています。
2026年7月にHeritage FalodunとSamson Ojoが発表した論文は、流通するBTCのうちDeFiで利用されているのは約0.8%にすぎず、Ethereumでは最大30%が利用されていると指摘しています。著者らは、信頼と制度的インフラが資本がBitcoinに流入しない主な理由であると示唆しています。
さらに、Blockstreamの5月のロードマップは、業界全体で信頼ベースの仕組みへの依存を減らす必要性を強調しています。特に同社はBitVM 1-of-nブリッジモデルの開発を進めています。フェデレーション型設計がこのようなインシデントを生み続けるなら、この取り組みの重要性は大幅に高まります。
送金に関与した当事者がBlockstreamにどのように応答するか、そして約4,000 BTCが返還されるのか、停止したままになるのか、取引所に移動するのかは、まだ分かりません。
現時点で、この状況はLiquidのセキュリティの試練であるだけでなく、Bitcoinユーザーがフェデレーション型ブリッジに置く信頼の度合いを問う試練でもあります。
