Het Liquid Network, een federatieve Bitcoin-sidechain die sinds de lancering in 2018 door Blockstream is ontwikkeld en wordt onderhouden en door exchanges en handelspartijen wordt gebruikt voor snellere settlement tussen Bitcoin-platformen, maakte een beveiligingsincident bekend nadat circa 4.000 BTC — destijds ongeveer 320 miljoen dollar waard — een door de federatie beheerde portefeuille verliet. Volgens Liquid werd de opname uitgevoerd met SideSwap's Peg-Out Authorization Key (PAK), maar het netwerk houdt vol dat deze sleutel noch enige andere autorisatiesleutel is gecompromitteerd. Liquid omschreef de ontvangers als vermoedelijke white-hat hackers, en Blockstream probeert hen te bereiken via ondertekende berichten die op de Bitcoin-blockchain zijn vastgelegd.

Als reactie schakelde het netwerk zijn bridge-nodes uit, waardoor er geen nieuwe transacties meer kunnen worden ingediend. Aan exchanges werd daarnaast gevraagd L-BTC-stortingen en -opnames te schorsen terwijl de federatieleden het incident onderzoeken. De gevolgen van die pauze zijn aanzienlijk voor de gebruikers van de sidechain: omdat L-BTC veel sneller en goedkoper tussen deelnemende exchanges beweegt dan Bitcoin op de hoofdnet, raakt een langdurige schorsing van peg-outs en exchange-ondersteuning direct de settlement-workflows waar deze partijen op leunen.

SideSwap koppelt de L-BTC aan een bug in Elements

Een vervolgsverklaring van SideSwap beschreef hoe diens peg-outdienst de L-BTC ontving en de bijbehorende Bitcoin vrijgaf. Blockstream heeft echter nog geen volledig technisch postmortem gepubliceerd waarin het lek wordt geïdentificeerd en elke fase van dit verhaal wordt bevestigd, waardoor SideSwap's verklaring als voorlopig moet worden beschouwd.

Hoe veilige sleutels desondanks de Bitcoin konden vrijgeven

Het ontwerp van Liquid scheidt de geldigheid van een asset van de autorisatie van de bestemming ervan. Volgens Blockstream's documentatie over L-BTC moet elke eenheid gedekt worden door een gelijkwaardige hoeveelheid Bitcoin in handen van de federatie. Een normale peg-out verbrandt de L-BTC voordat de bijbehorende BTC wordt vrijgegeven.

Een PAK heeft een beperktere taak: deze autoriseert het Bitcoin-adres dat een peg-out mag ontvangen. Het is niet het mechanisme dat bepaalt of de ingewisselde L-BTC in eerste instantie op correcte wijze is uitgegeven.

De multisignature-regeling van de federatie vereist dat 11 van de 15 functionarissen uitgaven uit de Bitcoin-portefeuille autoriseren. Als het verhaal van SideSwap wordt bevestigd, kunnen die handtekeningen cryptografisch geldig zijn geweest, terwijl een eerdere validatiefout ertoe leidde dat onterecht aangemaakte L-BTC het peg-outproces bereikte. Een veilige PAK zou een opname dus niet hebben tegengehouden als het netwerk de betwiste L-BTC al als geldig had geaccepteerd — de autorisatie kon de beoogde bestemming goedkeuren terwijl het validatieproces van de asset L-BTC niet herkende die nooit had mogen bestaan.

Als het verhaal van SideSwap klopt, hebben de supply-controles de L-BTC die zonder een overeenkomstige Bitcoin-storting was aangemaakt niet geweigerd. Dat zou verklaren hoe veilige autorisatiesleutels en geldige federatiehandtekeningen desondanks een verlies van echte reserves konden veroorzaken.

Bitcoin zelf is niet gecompromitteerd

Het incident betreft Liquid, een federatieve sidechain gebouwd met Elements, de open-source sidechain-codebasis die ook andere implementaties op basis van Liquid ondersteunt. Het wijst er niet op dat de consensusregels van Bitcoin zijn geschonden of dat een aanvaller de beveiliging van het Bitcoin-netwerk zelf heeft omzeild. Bitcoin verwerkte simpelweg een transactie met de handtekeningen die nodig waren om uit de federatieportefeuille te besteden. De kennelijke fout vond eerder plaats, binnen het systeem dat verantwoordelijk is voor de uitgifte, validatie en inwisseling van L-BTC.

Het incident daarom een "Bitcoin-hack" noemen zou verhullen waar het probleem zich daadwerkelijk voordeed. De overgedragen BTC was echt, maar SideSwap's voorlopige verklaring wijst naar de sidechain-software en peg-controles van Liquid.

Onchain-berichten tonen contact, geen herstel

Berichten die aan Bitcoin-transacties zijn gekoppeld, tonen een uitwisseling tussen Blockstream en het adres dat de opgenomen fondsen beheert. Blockstream gaf een retouradres op, en de ontvanger gaf later aan dat de Bitcoin zou worden teruggegeven zodra het lek was verholpen. Lezers kunnen transacties met het vermelde retouradres volgen op Mempool.

De communicatie strookt met de white-hat-claim van de ontvanger, maar zij verifieert niet de identiteit of bedoelingen van deze persoon. Een belofte om de Bitcoin terug te geven is niet hetzelfde als een voltooid herstel — bevestiging vereist een identificeerbare retourtransactie en een erkenning van Liquid of Blockstream dat de verwachte fondsen zijn ontvangen.

Liquid zegt dat andere assets niet zijn getroffen, maar de toegang werd verstoord

Liquid stelde dat andere uitgegeven assets, waaronder USDT, DePix en getokeniseerde real-world assets, niet waren getroffen door het beveiligingsincident. In deze context betekent "niet getroffen" dat Liquid die assets niet had geïdentificeerd als onterecht aangemaakt of opgenomen.

De operationele verstoring was echter breder. Het uitschakelen van de bridge-nodes zette de sidechain feitelijk op pauze, terwijl exchanges L-BTC-overboekingen schorsden of voorbereidden om te schorsen. Een asset kan intact op het grootboek blijven terwijl de eigenaar tijdelijk het vermogen verliest om deze te verplaatsen of in te wisselen — asset-integriteit en asset-beschikbaarheid zijn afzonderlijke risico's.

De Coldcard-zaak blootlegde een andere beveiligingslaag van Bitcoin

De gebeurtenis volgt op een afzonderlijk Bitcoin-beveiligingsincident met getroffen Coldcard-apparaten. De zaken staan los van elkaar, maar illustreren fouten op verschillende lagen: het probleem bij Coldcard betrof de transactieafhandeling in de wallet, terwijl het voorlopige verslag over Liquid betrekking heeft op de validatie en inwisseling van een met Bitcoin gedekte sidechain-asset.

Wat Liquid moet aantonen voordat het netwerk herstart

Het herstellen van de transactieverwerking lost niet elke vraag op die de opname heeft opgeroepen. Voordat gebruikers een herstart onafhankelijk kunnen beoordelen, moet Liquid voldoende informatie verstrekken om het volgende te verifiëren:

• Een technisch postmortem waarin het lek in Elements wordt geïdentificeerd.
• De getroffen softwareversies en de exacte corrigerende update.
• Bevestiging dat de gecorrigeerde software is uitgerold over de infrastructuur van de functionarissen.
• Een afstemming van de legitieme uitstaande L-BTC op de door de federatie beheerde Bitcoin.
• Bevestiging of de circa 3.996 BTC is teruggekeerd.
• Een uitleg waarom het peg-outproces de betwiste L-BTC accepteerde.
• Een melding dat de bridge-nodes en de normale transactieverwerking zijn hervat.
• Bevestiging van exchanges dat L-BTC-stortingen en -opnames zijn hersteld.

Een softwarepatch zou het lek verhelpen, maar bewijst daarmee niet alleen dat de boekhouding van Liquid is hersteld. Gebruikers hebben daarnaast bewijs nodig dat de resterende Bitcoin-reserves alle nog in omloop zijnde legitieme L-BTC dekken.

Wat Liquid nog moet uitleggen

De resterende vraag is waarom de betwiste L-BTC door de controles kwam die aan de handtekeningen van de federatie voorafgingen. Zolang Blockstream het lek niet identificeert, de legitieme uitstaande L-BTC niet afstemt op de resterende reserves en niet bevestigt of de circa 3.996 BTC is teruggekeerd, kan de technische en financiële uitkomst van het incident niet onafhankelijk worden beoordeeld.

Dit artikel is uitsluitend informatief en vormt geen financieel, juridisch of beleggingsadvies.