Blockstreams Liquid-sidechain ligt sinds zondag stil, nadat circa 4.000 BTC met een waarde van ongeveer $320 miljoen de federatieportemonnee verliet die elke L-BTC in omloop ondersteunt.

Liquid, in 2018 gelanceerd door Blockstream, is een gefedereerde Bitcoin-sidechain die vooral door beurzen en handelsbedrijven wordt gebruikt voor snellere settlement en uitgegeven activa; de L-BTC-tokens zouden één-op-één gedekt moeten zijn door bitcoin in de federatieportemonnee, waardoor ongedekte L-BTC een directe aanslag vormt op de kernbelofte van het netwerk.

SideSwap, een federatielid dat een peg-outdienst exploiteert, meldde dat een klant om 14:05 UTC 4.000 L-BTC naar het bedrijf stuurde. De tokens werden verbrand onder een geldige autorisatie, en 23 minuten later keerde de federatie 3.996 BTC uit.

We are aware of a security incident on @Liquid_BTC . Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds… — Liquid Network 🌊 (@Liquid_BTC) September 6, 2026

Liquid zei dat de middelen via SideSwap's Peg-out Authorization Key zijn verplaatst, maar dat die sleutel noch enige andere federatiesleutel is gecompromitteerd. SideSwap verklaarde eveneens dat geen van zijn systemen was geschonden, en wees in plaats daarvan op een bug in Elements, de open-sourcesoftware waarop Liquid draait.

Blockstream heeft de bug niet toegelicht, hoewel er al vijf weken eerder een fix aan de onderliggende Liquid-software was toegevoegd (Elements-commit). Er werd niets met geweld uit de portemonnee gehaald: iemand creëerde L-BTC die door geen enkele bitcoin werd gedekt, en wisselde die vervolgens in via een peg-out die er gewoon uitzag. Het gat tussen het landen van de fix upstream en het feit dat federatieleden daadwerkelijk gepatchte software draaiden, is de meest brandende vraag rond het incident.

De portemonnee bevatte voor zondag circa 4.200 BTC en erna nog ongeveer 200 — zo'n 5% van het eerdere saldo.

Contact met de veronderstelde white hats

De partij liet een on-chain bericht achter met de tekst "we are whitehats. contact us on chain." (transactie) Blockstream antwoordde een uur later met een e-mailadres, en sindsdien hebben beide partijen met PGP ondertekende berichten uitgewisseld die in Bitcoin-transacties zijn ingebed.

De hackers boden aan het grootste deel van de munten terug te geven, en koppelden daar vervolgens een voorwaarde aan: patch de bug eerst, omdat de keten bij de laatste commit nog steeds risico loopt, en werk elke node bij. Blockstreams antwoord — "Yes, thank you" — ging in op het eerdere aanbod en werd in hetzelfde blok bevestigd als de voorwaarde. De afloop hangt er nu van af of elke federatiefunctionaris tijdig upgradet, zodat de keten veilig kan worden hervat met volledig herstelde dekking.

Charles Guillemet, chief technology officer van Ledger, betoogde aanvankelijk dat "White hats don't drain a bridge and then solicit an 'on-chain' contact," en vergeleek het voorval met de hacks van Ronin en Euler — twee van de grootste exploits uit de cryptogeschiedenis, waarbij aanvallers met honderden miljoenen aan de haal gingen voordat gedeeltelijke terugbetalingen werden onderhandeld. Hij gaf even toe dat het mogelijk mensen waren die "intensively played with recent LLMs," maar verhardde zijn standpunt zodra de voorwaarde verscheen: white-hatpraktijken zijn "changed," schreef hij, met de toevoeging: "Now they steal the money and refuse to give back the funds before the vulnerability is fixed..."

Samson Mow, voormalig beveiligingschef van Blockstream, die een tijdlijn van de uitwisseling publiceerde, schat het adres van de hackers op ongeveer 3.998,5 BTC.

Andere activa op Liquid, waaronder USDT, DePix en getokeniseerde reële activa, bleven onaangetast, en het Bitcoin-netwerk zelf is niet geraakt.