De Liquid Network werd op 6 september getroffen door een groot beveiligingsincident, toen bijna 4.000 BTC – met een waarde van ongeveer 320 miljoen dollar – uit de federation-wallet werd verplaatst. De inbreuk dwong de Bitcoin-sidechain de activiteiten stil te leggen terwijl Blockstream de ongeautoriseerde opname onderzocht.

Liquid, een door Blockstream in 2018 gelanceerde Bitcoin-sidechain, is ontworpen voor snellere settlement en asset-uitgifte tussen beurzen en handelaren. Het circulerende activum, Liquid Bitcoin (LBTC), wordt één-op-één gedekt door Bitcoin in de federation-wallet van het netwerk.

Liquid omschreef de betrokken actoren als "zogenaamde white-hat hackers", hoewel hun bedoelingen nog niet zijn bevestigd. Een on-chainbericht meldde dat de aanvallers white hats waren en vroeg het netwerk contact met hen op te nemen. Blockstream heeft sindsdien geprobeerd via de blockchain een communicatielijn op te zetten.

Het incident heeft directe vragen opgeroepen over de veiligheid van Liquid's Bitcoin-peg en de controles rond opnames uit de federation-wallet.

Liquid legt netwerkactiviteiten stil

De verplaatste middelen gingen via een peg-outtransactie, waarbij Bitcoin vrijkwam uit de reserves die Liquid Bitcoin (LBTC) dekken. On-chain-gegevens toonden aan dat ongeveer 3.996 BTC bij een extern Bitcoin-adres aankwam.

Als reactie legde Liquid het netwerk stil en nam het maatregelen om verdere activiteit te beperken. Beurzen schortten daarnaast LBTC-stortingen en opnames op terwijl het onderzoek liep.

De inbreuk hield geen compromittering van de Bitcoin-basislaag in. Het incident spitst zich toe op de federatie van Liquid en de mechanismen waarmee peg-outs worden geautoriseerd. Peg-outs vereisen handtekeningen van een drempelaantal functionarissen van het netwerk: de federatieleden die gezamenlijk de multisig-wallet beheren waarmee de gepegde Bitcoin wordt beveiligd.

Status van de middelen blijft onzeker

De grootste onbeantwoorde vraag is of de Bitcoin daadwerkelijk verloren is gegaan.

Het on-chainbericht suggereert dat de onbekende partij mogelijk zal beweren de middelen als beveiligingsmaatregel te hebben verwijderd. Die claim is echter niet onafhankelijk vastgesteld. Tot de Bitcoin wordt teruggegeven of de actoren overtuigend bewijs leveren, moeten de middelen als mogelijk gecompromitteerd worden beschouwd.

Het incident vestigt ook opnieuw de aandacht op de risico's van gefedereerde Bitcoin-bridges. Liquid is afhankelijk van een groep federatiedeelnemers die de Bitcoin achter de sidechain-assets beveiligt.

Voor gebruikers en investeerders is de directe focus of Blockstream de middelen kan terugkrijgen en kan vaststellen hoe de ongeautoriseerde opname heeft kunnen plaatsvinden. De uitkomst kan ook het vertrouwen in Liquid en andere systemen die op custodiale of gefedereerde infrastructuur leunen beïnvloeden. Belangrijke punten om in de gaten te houden zijn of de communicatie met de onbekende actoren slaagt, hoe het ondertekeningsproces van de federatie werd omzeild of misbruikt, en welke wijzigingen Blockstream na afloop aanbrengt in de peg-outcontroles van het netwerk.