Blockstream zei geen losgeld te zullen betalen voor de teruggave van ongeveer 598,5 BTC, met een waarde van circa $47 miljoen, die na de exploit van het Liquid Network nog steeds ontbreekt. Met dat besluit komen dagenlange onderhandelingen met de personen die de fondsen hebben meegenomen ten einde.

De aanvallers haalden zondag ongeveer 4.000 BTC uit de Liquid-sidechain. De activa hadden op dat moment een waarde van circa $320 miljoen. Maandag stuurden ze 3.400 BTC terug, oftewel ongeveer 85% van het gestolen bedrag. De resterende 598,5 BTC staat nog steeds op het adres waarnaar de bitcoin was opgenomen en is niet verplaatst.

“Het zonder toestemming overnemen van activa en het achterhouden van de teruggave ervan is een misdrijf, geen verantwoorde openbaarmaking van een kwetsbaarheid,” zei Blockstream vrijdag. “Het is geen white-hat-activiteit. Het is diefstal.”

In een bericht op X richtte Blockstream zich tot degenen die verantwoordelijk zijn voor de diefstal:

To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026

https://x.com/Blockstream/status/2098281867908690394?ref_src=twsrc%5Etfw

De exploit maakte misbruik van een fout in de manier waarop Liquid-nodes verificaties van range proofs in de cache opsloegen. Door de kwetsbaarheid konden de aanvallers ongedekte L-BTC creëren en die via SideSwap inwisselen voor Bitcoin uit de reserve. SideSwap is een lid van de federatie dat beschikte over een autorisatiesleutel voor peg-outs. De reserve van Liquid daalde vervolgens tot 197 BTC.

Blockstream patchte de bridgenodes binnen 10 uur en bracht woensdag Elements v23.3.4 uit. Liquid hervatte donderdag het produceren van blocks en het verwerken van transacties, hoewel peg-outs uit voorzorg uitgeschakeld blijven terwijl “de laatste fase van het herstel” wordt voortgezet. Peg-outs zijn het mechanisme waarmee L-BTC wordt ingewisseld voor bitcoin die in de reserve van Liquid wordt aangehouden. Door ze uitgeschakeld te houden, wordt die conversie tijdens de herstelwerkzaamheden voorkomen. Het bedrijf waarschuwde ook dat oplichters nodebeheerders benaderden met valse websites voor updates.

In het incidentrapport van dinsdag beschreef Liquid de aanvallers als een “white-hat-hacker” en zei het project met de persoon samen te werken om het netwerk opnieuw op te starten. Blockstream zei dat zijn deelname aan die gesprekken “niet mag worden opgevat als aanvaarding van de ondernomen acties of van de geëiste voorwaarden.”

De eisen werden woensdag openbaar gemaakt in een Bitcoin-transactie. De exploitanten beweerden dat Blockstream “slechts $1.5M (maybe even 0) to secure $5B assets” had uitgetrokken en noemden dat “a flagrant neglect of security.” Ze eisten 10% “using your own money as bug bounty” en waarschuwden anders: “you will cause all your holders a 15% loss for your irresponsibility and stinginess.”

Blockstream zegt geen precedent voor losgeld te willen scheppen

Blockstream zei geen “partij te zullen zijn bij het precedent dat open-sourcesoftware die is ontwikkeld ten bate van de Bitcoin-gemeenschap, de ontwikkelaars ervan zou moeten verplichten losgeld te betalen dat hun economische deelname ver overstijgt.”

Het bedrijf zei ook het tekort niet met geld van gebruikers te zullen aanvullen. “Bitcoin is hard money and can't be minted without costs,” zei het. “Bitcoin doesn't haircut users to pay a ransom.”

Als de resterende bitcoin niet wordt teruggestuurd, zei Blockstream “alle wettige middelen” te zullen inzetten, samen met opsporingsinstanties, exchanges en forensische specialisten. “Transacties verdwijnen niet, en evenmin het bewijs dat ze achterlaten,” waarschuwde het bedrijf. Het sloot af met: “Return the bitcoin.”

Bron: Decrypt