Liquid Networkは日曜日、自称ホワイトハットハッカーによってフェデレーションウォレットから約4,000ビットコイン(BTC)が引き出されたことを受け、活動を停止しました。引き出された資金は事件発生時点で約3億2,000万ドルの価値に相当しました。Liquidは9月6日のセキュリティ事件をXへの投稿で公表しました。

We are aware of a security incident on @Liquid_BTC. Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds… — Liquid Network 🌊 (@Liquid_BTC) September 6, 2026

https://x.com/Liquid_BTC/status/2096696272447218108

今回の引き出しは、ネットワークの報告ベースのビットコイン準備金の約95%を占めていました。事件前、フェデレーションウォレットには約4,200 BTCが保有されていました。Liquidは発表の中で資金が返還されることを確認していません。「ホワイトハット」はセキュリティ業界で、脆弱性を悪用しつつも盗んだ資金を返還する意図や欠陥の開示を主張する者を指す用語であり、過去の自称ホワイトハットによる事件は様々な結果に終わっているため、この呼称自体は返還の保証にはなりません。

ホワイトハットハッカーについて分かっていること

この事件に関連したビットコイントランザクションには、"We are whitehats. Contact us on chain."(我々はホワイトハットだ。オンチェーンで連絡せよ)というオンチェーンメッセージが添えられていました。

Liquidのインフラを開発する企業であるBlockstreamは、ビットコインブロックチェーン上の署名済みメッセージを通じて、いわゆるホワイトハットハッカーへの接触を試みました。関係当事者や通信の詳細は明らかにされていません。

Liquidによると、引き出しはPeg-out Authorization Key(PAK)として知られるキーを通じて処理されました。同社は、PAKキーを含め他のいかなるキーも侵害されていないと述べています。

PAKは、ペグアウト機能を登録済みアカウントおよび承認されたビットコインアドレスに限定するものです。この制限は、引き出し時にフェデレーションがBTCを送金できる宛先を規定します。キーが侵害されずに資金が移動したという事実は、鍵の盗難ではなくペグアウト処理の呼び出し方法に問題があった可能性を示唆しますが、Liquidは脆弱性の詳細を公表しておらず、現時点でそのような結論を導くことはできません。

いわゆるホワイトハットハッカーが悪用した脆弱性に関する情報は一切公開されていません。

Liquidはなぜネットワーク活動を停止したのか

この事件を受け、Liquidはブリッジノードをシャットダウンし、ユーザーがブロックチェーンネットワークへトランザクションを送信できないようにしました。ブリッジノードは、ユーザーのノードをフェデレーションのファンクショナリーサーバーに接続する役割を担っています。ブリッジノードの停止はフェデレーション型サイドチェーンにおける一般的な封じ込め措置です。ビットコイン本体とは異なり、フェデレーションの運営者が参加を取りやめた場合に取引の検証を継続する独立したマイナーネットワークが存在しないためです。

暗貨取引所にはセキュリティ侵害が通知され、声明によると、LBTCの受け入れと引き出しをすでに停止するか、まもなく停止する準備が整っていました。LBTCはペグが信頼されている間のみBTCと等価で取引されるため、ペグアウトの長期停止は、他のラップドまたはフェデレーション型ビットコイン製品での過去の障害で見られたように、取引所とサイドチェーン資産の保有者に圧力をかけるのが通常です。

Liquidによると、サイドチェーン上で発行されたUSDT、DePix、法定通貨は侵害の影響を受けていませんが、ウォレットへの影響は予想されています。

フェデレーションメンバーは問題の解決と運用再開に向けて対応中です。声明によると、問題が解決されるまでサイドチェーンはオフラインのままとなります。注目点としては、Blockstreamと自称ホワイトハットの間のオンチェーン上の対話が資金返還に至るか、脆弱性が開示されるか、そして再開前にフェデレーションがペグアウト管理をどのように変更するかなどが挙げられます。

Liquidはビットコイン準備金をどのように保護しているのか

引き出されたビットコインはLiquidネットワークの準備金の一部でした。通常の運用では、ユーザーはBTCをフェデレーションウォレットに預け、同額のLBTCと引き換えます。この処理はペグインと呼ばれます。逆の手順であるペグアウトでは、ビットコインが解放される前にフェデレーションメンバーがLBTCを破棄する必要があります。Liquidノードを運用するユーザーは、フェデレーションが保有するビットコインとLBTCの供給量を照合して検証することもできます。

Blockstreamのドキュメントによると、15人のフェデレーションメンバーが準備金ウォレットの鍵を保有しており、鍵はハードウェアセキュリティモジュールで保護されています。ウォレットからビットコインが流出するには、11人のメンバーが標準的なペグアウトトランザクションに署名する必要があります。このマルチシグネチャ設計は、ビットコインのプルーフ・オブ・ワークとは異なる信頼モデルであり、セキュリティは匿名のマイナーへの経済的インセンティブではなく、フェデレーションメンバーの誠実さと運用規律に依存しています。

Liquidは、ビットコインプロトコルを基盤とするオープンソースソフトウェアプラットフォーム「Elements」上で稼働しています。ビットコインとは異なり、ブロックの確認にはマイナーではなくフェデレーションメンバーの署名に依存しており、通常の条件下では1分間隔のブロックが生成されます。

ネットワークは、法定通貨や証券など様々な資産タイプを表すトークンの利用もサポートしています。コンフィデンシャルトランザクションによって転送額と資産タイプは第三者の観察者から隠され、LBTCはトランザクション手数料の支払いに使用されます。

同プロジェクトは2018年に、取引所、ブローカー、その他のユーザー間の送金を高速化する目的で設立されました。Liquidの最初のブロックは9月27日にマイニングされ、公式発表は10月10日に行われました。ローンチ時点でのネットワークの参加者は23社で、Bitfinex、OKCoin、BitMEX、SIX Digital Exchangeが含まれていました。当初のトランザクション決済時間は2分でした。