Ongeveer 4.000 BTC stroomde begin september weg uit het Liquid Network, de gefedereerde sidechain van Adam Backs Blockstream, en de aanvallers hebben nog steeds ongeveer 600 BTC niet teruggegeven — een bedrag ter waarde van rond de 47 miljoen dollar. De exploit viel samen met verdere turbulentie rond Backs ondernemingen: een bitcoin-treasurydeal van 4 miljard dollar uit Backs kring is afgeblazen, en Bloomberg meldt dat meerdere bedrijven rechtszaken hebben aangespannen tegen het miningbedrijf Exacore. Er is geen bewijs van een causaal verband tussen de hack, de mislukte deal en de rechtszaken.

Back is een cryptograaf wiens Hashcash-schema wordt geciteerd in de Bitcoin-whitepaper, en hij wordt daarom tot de pioniers en vroege enthousiastelingen van Bitcoin gerekend. In 2014 richtte hij Blockstream op, dat infrastructuur voor Bitcoin bouwt, waaronder het Liquid Network. De sidechain vereffent bitcoin als L-BTC, waarbij de tokens gedekt worden door BTC die gebruikers eerst storten in een wallet van de zogenoemde Federation. Volgens Bloomberg haalde Blockstream 210 miljoen dollar op na de Bitcoin-conferentie van 2024 in Nashville. In april 2025 was er ook sprake van meer dan 350 miljoen dollar voor de miningdivisie — al had Blockstream zijn miningbedrijf ruim twee jaar eerder afgesplitst.

Ongedekte L-BTC: hoe de exploit 4.000 BTC wegvoerde

De aanval maakte gebruik van een fout in Elements, de software waarop Liquid draait. De bug trof een cache range proofs controleert — de cryptografische controles die transactiebedragen op Liquid vertrouwelijk houden terwijl het netwerk nog steeds kan verifiëren dat ze geldig zijn. Eerst gebruikten de aanvallers dit gat om L-BTC te creëren zonder bitcoin als dekking. Vervolgens gebruikten ze de Peg-out Authorization Key (PAK) van de Liquid-dienst SideSwap, waarmee ze de ongedekte tokens konden ruilen voor echte BTC-opnames uit de Federation-wallet. De exploitketen combineerde daarmee de twee beveiligingen die het gefedereerde model bij elkaar houden — de software die transacties valideert en de sleutels die opnames autoriseren — en daarom kon één enkele fout de reserve bereiken die alle L-BTC dekt.

In totaal verlieten op deze manier ongeveer 4.000 BTC, ter waarde van grofweg 320 miljoen dollar, de wallet. Vóór de aanval bevatte deze zo'n 4.200 BTC; daarna nog slechts 197 BTC. De Federation beheert deze reserve, die afkomstig is van gebruikersstortingen. Daardoor miste de circulerende L-BTC tijdelijk het grootste deel van zijn dekking.

Zelfverklaarde white hats geven het grootste deel van de fondsen terug

De aanvallers presenteerden zichzelf als white hats, oftewel securityonderzoekers die fouten rapporteren in plaats van deze te misbruiken. Later stuurden ze ongeveer 3.400 BTC terug. Maar ze hielden ongeveer 598 BTC vast, ter waarde van rond de 47 miljoen dollar, als een beloning die ze zichzelf hadden toegekend. In een on-chain bericht eiste de aanvaller een bounty van 10%.

Samson Mow, Blockstreams voormalige chief strategy officer, bevestigde het openstaande bedrag. Hij zei ook dat Blockstream contact hield met de white-hat-hackers. Blockstreams eigen telling zet het cijfer daarentegen op ongeveer 602 BTC. Het analyticsbedrijf TRM Labs rangschikt het incident, met zo'n 319 miljoen dollar, als de grootste hack van 2026 tot nu toe; volgens de analisten is 85% van de fondsen teruggestroomd.

Een paar dagen na de aanval sloot een patch voor Elements het gat, en hervatte het netwerk later de blokproductie. Blockstream wees de bounty-eis uiteindelijk af: "We betalen niet voor de teruggave van gestolen eigendommen. We laten onze gebruikers niet in de steek." Het bedrijf noemt het incident diefstal. Het zonder toestemming wegnemen van assets en het inhouden van de teruggave is "een misdaad, geen responsible disclosure", aldus het bedrijf — gedrag dat volgens hen niets met white-hat-werk te maken heeft. Hoe om te gaan met aanvallers die betaling eisen, is een terugkerend dilemma na grote crypto-exploits; het antwoord van Blockstream hier was een ondubbelzinnige weigering.

Al op 10 september gaf Back de dat de 1:1-peg van L-BTC ten opzichte van bitcoin gedekt zou blijven. Volgens een mededeling van Liquid eind september zijn peg-outs — de opnames van Liquid terug naar de Bitcoin-blockchain — echter nog steeds opgeschort. De ongeveer 602 openstaande BTC gelden daardoor nog steeds als niet-teruggewonnen. Voor L-BTC-houders is de opschorting de praktische beperking, want zonder peg-outs kan bitcoin op Liquid niet naar de hoofdchain worden opgenomen; een vervolgmededeling die de opschorting opheft, en elke beweging van de openstaande munten, zijn de zichtbare signalen om in de gaten te houden.

BSTR en Cantor blazen deal van 4 miljard dollar af

Back is ook CEO en medeoprichter van Bitcoin Standard Treasury Company (BSTR), een bitcoin-treasuryvehicle — een bedrijf wiens balans voornamelijk uit bitcoin bestaat. In juli 2025 sloot BSTR een fusieovereenkomst met het aan Nasdaq genoteerde Cantor Equity Partners I (CEPO), een special purpose acquisition company (SPAC) — een beursgenoteerde lege vennootschap die een privébedrijf via een fusie naar de beurs brengt. Volgens de oorspronkelijke voorwaarden zou het vehicle 30.021 BTC, ter waarde van meer dan 3 miljard dollar, inbrengen via de combinatie, terwijl nog eens 1,5 miljard dollar zou komen uit een PIPE, een private kapitaalronde bij geselecteerde investeerders. In totaal impliceerde de deal een waardering van ongeveer 4 miljard dollar. De stemmingen over de transactie schoven echter meerdere keren op.

In augustus 2026, iets meer dan een jaar na ondertekening, beëindigden BSTR en CEPO de overeenkomst. Het persbericht van BSTR (SEC-filing) omschrijft de beëindiging als wederzijdse en noemt zwakke waarderingen van beursgenoteerde bitcoin-treasuryvehicles en verstoorde kapitaalmarkten als reden. Bloomberg schrijft de beëindiging daarentegen toe aan Cantor. De zaak is niet afgesloten: volgens Cantor is BSTR een beëindigingsfee van 15 miljoen dollar verschuldigd. Voorlopig blijft van de geplande miljardendeal dus slechts een vordering van miljoenen over.

Exacore: energierekeningen en leverancierszaken in de mijnbouw

Exacore is actief in bitcoin-mining, waar rekenfaciliteiten nieuwe blokken produceren en daarbij grote hoeveelheden stroom verbruiken. Volgens Bloomberg werkte Blockstreams afgesplitste miningbedrijf samen met Exacore als partner. Het hoofd van Exacore is volgens het rapport Chris Cook, een al langere tijd vertrouweling van Back. Een rechtbank veroordeelde Cook in 2008 tot 41 maanden gevangenisstraf voor mail fraud, meldt Bloomberg, en tegen hem loopt in Florida een rechtszaak in verband met een Boeing 767.

Het nutsbedrijf Xcel Energy heeft Exacore aangeklaagd wegens onbetaalde energierekeningen, met ongeveer 1,1 miljoen dollarstaand, aldus Bloomberg. Giga Energy diende in februari een zaak in omdat Exacore een inkoopovereenkomst voor miningapparatuur zou hebben geschonden; Exacore ontkent dit, schrijft Bloomberg. Daarnaast eist BLS Electrical iets minder dan 1 miljoen dollar voor onbetaald werk en apparatuur.

De details van de zaken komen uit het Bloomberg-rapport, en de bedragen weerspiegelen het standpunt van de eisers. Alleen de vorderingen van Xcel en BLS lopen al op tot ongeveer 2 miljoen dollar, waarmee de energierekening het grootste post is onder de vorderingen die Bloomberg kwantificeert. De mix van vorderingen — elektriciteit, mininghardware, elektrotechnisch werk — weerspiegelt de kostenstructuur van een bedrijf dat draait om stroom en gespecialiseerde apparatuur. Geen van de zaken is al beslecht; zoals ingediend blijven de bedragen vorderingen en geen rechterlijke vaststellingen.

Blockstream distantieert zich van de miningpartner

Blockstream trekt een scheidslijn tussen zichzelf en Exacore. Een woordvoerder zei dat het bedrijf geen enkele operationele betrokkenheid bij Exacore heeft en geen band met het bedrijf. Evenzo distantieert president Michael Minkevich zich van mining, dat hij kapitaalintensief noemt en een slechte match voor Blockstream.

Toch meldt Bloomberg een band met mining die via Back zelf loopt. Een document uit 2025 noemt hem als bestuurder van BM OpCo, aldus het rapport. BM OpCo is de lener onder Blockstream Mining Note 2 (BMN2). Volgens Blockstream houdt Back daar geen eigen vermogen in. De nota, uitgegeven in Luxemburg in 2024, loopt via SICOS Securities, met STOKR verantwoordelijk voor de tokenisatie. In oktober 2025 steeg de capaciteit van 200 miljoen naar 2 miljard dollar. Back reageerde niet op Bloomsbergs verzoeken.

Ongeveer 600 BTC uit de Liquid-exploit zijn nog steeds openstaand, en Blockstream weigert een bounty te betalen voor de teruggave. Bloomberg meldt dat er rechtszaken met gekwantificeerde vorderingen van in totaal ongeveer 2 miljoen dollar bij Exacore lopen. Volgens Cantor is BSTR daarnaast nog 15 miljoen dollar aan Cantor verschuldigd. Vanaf hier zijn de concrete signalen om te volgen: de teruggave van de openstaande munten, een mededeling van Liquid die de opschorting van peg-outs opheft, de oplossing van de claim van 15 miljoen dollar en de uitkomsten van de rechtszaken tegen Exacore.

Bron: Crypto Valley Journal, gebaseerd op berichtgeving van Bloomberg.