De Liquid Federation heeft aangekondigd dat de bitcoinreserves van het Liquid Network volledig zijn hersteld, waarmee de 1:1 BTC-dekking voor LBTC is hersteld, het token dat bitcoin vertegenwoordigt op de sidechain van Blockstream. Het herstel komt bijna twee maanden nadat een exploit in september ongeveer $320 miljoen in BTC weghaalde en een gat in de reserve van het netwerk achterliet. De ontbrekende munten zouden naar verluidt door Blockstream zijn geleverd.

Blockstream vulde het gat in de reserve

In een aankondiging op X op dinsdag 3 november schreef de Liquid Federation dat het "verheugd is te kunnen aankondigen dat de bitcoinreserves van het netwerk volledig zijn hersteld, waarmee de 1:1 BTC-dekking voor alle LBTC opnieuw is vastgesteld."

Blockstream-ceo Adam Back deelde een screenshot van een dashboard waarop de activa van het Liquid Network voor 100% aansluiten op de passiva. De screenshot liet ook zien dat het reservetekort nu 0,00 BTC bedraagt.

Toen Samson Mow, bestuurslid van de Liquid Federation en voormalig Blockstream-medewerker, werd gevraagd naar de bron van de fondsen, antwoordde hij: "Zoals vaak gezegd: Blockstream."

Mow hield de stortingen publiek bij toen ze binnenkwamen. Volgens zijn updates kwamen op 28 oktober 50 BTC in de portemonnee van de federatie terecht, met een tekort van 550 BTC tot gevolg. Op maandag werden nog eens 300 BTC toegevoegd, gevolgd door nog eens 250 BTC later diezelfde dag, waarmee de koppeling volledig was hersteld.

De stortingen sluiten ook de rekenkundige balans van de exploit af: van de ongeveer 4.000 ongedekte LBTC die in september werden geslagen, kwamen 3.400 BTC de volgende dag terug, met ongeveer 600 tokens als restant — hetzelfde gat dat nu is gevuld met de 600 BTC die Mow zinnenkomen zag. Het tekort was meer dan een boekhoudkundige post: ongedekte LBTC kunnen via peg-out-diensten worden geruimd tegen echte bitcoin, zoals de aanvaller via SideSwap demonstreerde, dus tot de aanvulling vertegenwoordigde elk openstaand ongedekt token een vordering die de reserve niet kon honoreren.

Directe swaps tussen bitcoin en LBTC waren weken eerder al hervat via deelnemende aanbieders. De Federation heeft echter niet gezegd of alle resterende peg-out-beperkingen nu zijn opgeheven, en naast de stortingen van Blockstream heeft ze niet bekendgemaakt hoe het gat in de reserve volledig is gedekt.

Hoe aanvallers ongedekte LBTC sloegen

Zelfverklaarde white-hat-hackers misbruikten op 6 september een buy-in in Elements, de open-source software waarop Liquid draait — een incident dat later aan bod kwam in Liquid Networks beoordeling van het beveiligingsincident. De fout zat in een cache die de resultaten van dure rangeproof-controles opslaat. Omdat de cache-sleutel de asset commitment en de scriptPubKey wegliet, kon een node een eerder geverifieerd bewijs hergebruiken in een context waarin het niet geldig was.

Die zwakte stelde de aanvaller in staat ongeveer 4.000 ongedekte LBTC te sloegen en deze via SideSwaaps peg-out-dienst te leiden om echte bitcoin op te nemen. Privésleutels werden niet gestolen bij de exploit, dankzij de 11-van-15 multisig van de federatie en de autorisatiesleutels van SideSwap, die werkten zoals ontworpen.

De volgende dag gaf de aanvaller 3.400 BTC terug, maar hield ongeveer 598 BTC vast, destijds ter waarde van circa $47 miljoen. De aanvaller eiste vervolgens een bug bounty van 10% in ruil voor de resterende munten. Blockstream weigerde het aanbod, met de mededeling geen "losgeld te betalen dat hun economische deelname ver ver overstijgt." Enkele dagen later, op 9 september, bracht Blockstream een versterkte Elements-release uit, v23.3.4.

Kunnen de fixes toekomstige aanvallen voorkomen?

Toen onder zijn oorspronkelijke bericht op X werd gevraagd wat een herhaling van dit soort aanval zou voorkomen, zei Back dat drie verdedigingslinies zijn versterkt. Hij schreef dat de peg-out-autorisatiesleutels (PAK) zijn vernieuwd en verplaatst naar koude hardware wallets. Proof-validatiecaches, aldus Back, zijn uitgeschakeld en de fout is voor nodes verholpen. Voor de derde fix schreef Back dat de consensusregels zijn versterkt, "en fail closed." Hij voegde toe dat de systemen meerdere audits van derden hebben doorstaan.

De waarschuwing over AI-voorgestelde fixes

Back zei ook dat een van de lessen uit het incident is om elke AI-suggestie met argwaan te behandelen, met de woorden: "vertrouw niet, verifieer."

Zijn waarschuwing komt niet uit de lucht. Onafhankelijke analyse suggereerde dat de aanvaller van september de kwetsbaarheid reverse-engineerde vanuit een publiek getitelde GitHub-commit voordat er ook maar één productienode was bijgewerkt. Volgens Google's Threat Intelligence Group (GTIG) misbruikten aanvallers 141 kwetsbaarheden tussen januari en augustus 2026 — 14 incidenten meer dan de 127 die in heel 2025 werden geregistreerd. Er werd gemeld dat AI-tools de afstand tussen de openbaarmaking van een bug en een werkende exploit verkleinen.

De Liquid Federation heeft gezegd dat zij ook wijzigingen in governance en toezicht voorbereidt, met meer details beloofd in de komende weken.

Bron: Cryptopolitan