De personen die ongeveer 320 miljoen dollar aan bitcoin in handen hebben, weggehaald uit Blockstream's Liquid Network, zeggen het grootste deel van de fondsen terug te zullen geven — maar pas nadat het lek dat de exploit mogelijk maakte is verholpen. De onderhandeling vindt publiekelijk plaats, via berichten die in bitcointransacties zijn ingebed.

Ongeveer 4.000 bitcoin werd op 6 september opgenomen uit de federation-wallet van Liquid, waardoor het netwerk achterbleef met een softwarelek en een gat van 320 miljoen dollar in zijn reserves. Beide partijen communiceren nu via kleine bitcointransacties met berichten die permanent on-chain worden vastgelegd.

Liquid Network-hack haalt 320 miljoen dollar uit federation-wallet

Op 6 september werd ongeveer 4.000 van de ruim 4.200 bitcoin die Blockstream's Liquid Network, een op Bitcoin gebaseerd betalings- en settlementnetwerk, ondersteunen, in één enkele overdracht van destijds ongeveer 320 miljoen dollar opgenomen uit de federation-wallet door "vermeende white-hat hackers", aldus het bedrijf.

We are aware of a security incident on @Liquid_BTC. Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds… — Liquid Network 🌊 (@Liquid_BTC) September 6, 2026

Blockstream schreef het incident toe aan een softwarebug in Elements, de open-source codebase die aan Liquid ten grondslag ligt. De fondsen werden verplaatst via SideSwap, een goedgekeurd handelsplatform voor Liquid, dat naar verluidt geen onderscheid kon maken tussen legitieme munten en munten die via de exploit waren gecreëerd.

Liquid schortte vervolgens nieuwe transacties op, terwijl de federation-leden werken aan het verhelpen van het lek en het herstellen van de normale bedrijfsvoering.

Het incident belicht een structureel kenmerk van Liquid's ontwerp: het netwerk is een federatieve sidechain, wat betekent dat de L-BTC-tokens van gebruikers worden gedekt door bitcoin in een multisig-wallet die wordt beheerd door een groep functionarissen in plaats van door een Bitcoin-smartcontract. Daardoor zijn de integriteit van zowel de federation-wallet als de Elements-software cruciaal voor elke L-BTC in omloop, en het verklaart waarom beurzen snel L-BTC-stortingen en -opnames opschorten zodra de reserves waren aangetast.

Hackers onderhandelen op de blockchain over de teruggave van de bitcoin

Het meest ongebruikelijke aan het incident is wat er daarna gebeurde: de vermeende white-hat hackers en Blockstream begonnen publiekelijk te communiceren via OP_RETURN-berichten in de blockchain, inclusief een discussie over de vraag of het teruggeven van "het grootste deel" van de fondsen acceptabel zou zijn.

Een white-hat hacker is een ethische hacker die een fout in een beveiligd systeem exploiteert voordat kwaadwillende actoren dat kunnen doen. Doorgaans benutten zij een fout, verplaatsen zij het geld en vragen zij een vergoeding om het terug te geven.

In het geval van Liquid gaven de personen achter de opname aan de fondsen terug te zullen geven nadat Liquid het lek heeft verholpen. De berichten vormen een publiek verslag van de uitwisseling tussen beide partijen — een transparantie die onderhandelingen buiten de chain, zoals na de meeste grote beurshacks, doorgaans missen.

Wat de berichten in de Liquid Network-hack laten zien

Met behulp van piepkleine "dust"-transacties met OP_RETURN-berichten onderhandelen beide partijen al een dag lang, volledig in het openbaar, over de teruggave van de fondsen.

Blok 965.822 — Een aan Blockstream gelinkt adres stuurt 1.000 satoshi's naar de wallet van de hacker met een kort bericht: "Please contact security@blockstream.com."

Blok 965.865 — Er komt een antwoord binnen met een versleuteld bericht en een losstaande PGP-handtekening die overeenkomt met Blockstreams gepubliceerde beveiligingssleutel, wat cryptografisch bewijs levert dat het bericht met die sleutel is ondertekend en daadwerkelijk van Blockstream afkomstig is.

Blok 965.869 — De hacker reageert door het eigen saldo te besteden en stuurt 1.000 satoshi's naar Liquid's federation peg-wallet met het bericht: "sending most back to[the federation address], is that ok."

Blok 965.875 — Een daaropvolgend, aan Blockstream toegeschreven bericht stelt dat het onderliggende lek eerst moet worden verholpen en de nodes van het netwerk moeten worden gepatcht voordat de fondsen veilig kunnen worden teruggegeven.

"Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix," aldus het bericht.

Een vergelijkbaar geval: Ronin

De episode vertoont overeenkomsten met het Ronin Bridge-incident van 2024, toen een white-hat MEV-searcher een lek benutte en ongeveer 4.000 ETH en 2 miljoen dollar aan USDC opnam, destijds samen ongeveer 12 miljoen dollar waard.

Ronin stopte de bridge, nam contact op met de operator en de fondsen werden teruggegeven. Ronin zegde met de actor te onderhandelen omdat deze white hats leken te zijn die te goeder trouw handelden. De white hat ontving een bounty van 500.000 dollar.

Het proces verliep veel sneller: het incident vond plaats, de bridge werd gestopt, Ronin erkende het probleem publiekelijk en de fondzen werden ongeveer 80 minuten later teruggegeven.

Het Liquid-geval is bijna 27 keer groter — en de personen die de fondsen in handen hebben, hebben de teruggave gekoppeld aan de voorwaarde dat Blockstream het lek verhelpt en het netwerk patcht, terwijl de fondsen in hun handen blijven. Die voorwaarde maakt de patchesnelheid ook een financieel probleem voor Liquid, en niet alleen een beveiligingsprobleem: elke dag dat het netwerk kwetsbaar blijft, blijft ongeveer 320 miljoen dollar aan dekmiddelen buiten de controle van de federation.

Wat er verder gebeurt in de Liquid Network-hack

Het incident heeft Liquid's reserveprobleem van 320 miljoen dollar en zijn softwarelek op dezelfde klok gezet.

Het netwerk is gepauzeerd en beurzen hebben L-BTC-stortingen en -opnames opgeschort zolang het onderzoek loopt.

De onderhandeling verloopt bovendien via een kanaal dat publiek, van tijdstempels voorzien en cryptografisch verifieerbaar is. De identiteit van de houder van de fondsen blijft echter anoniem — wat betekent dat er, ondanks de signalen van goede wil in de on-chain berichten, geen garantie is dat de uitgesproken intentie om de fondsen terug te geven wordt nagekomen, en dat de afloop pas bekend zal zijn wanneer het lek is verholpen en de nodes van het netwerk zijn gepatcht.