Na początku września z Liquid Network, federacyjnego sidechaina operowanego przez Blockstream Adama Backa, wypłynęło około 4 000 BTC, a napastnicy nadal nie zwrócili około 600 BTC — kwoty warte około 47 mln USD. Exploit zbiegł się z dalszymi turbulencjami wokół przedsięwzięć Backa: umowa skarbca bitcoinowego o wartości 4 mld USD z jego otoczenia upadła, a Bloomberg informuje, że kilka firm pozywa spółkę wydobywczą Exacore. Nie ma dowodów na przyczynowy związek między hackiem, nieudaną umową i pozwami.

Back jest kryptografem, którego schemat Hashcash jest cytowany w white paper Bitcoinа, i z tego względu zalicza się go do pionierów i wczesnych entuzjastów Bitcoina. W 2014 roku założył Blockstream, który buduje infrastrukturę dla Bitcoina, w tym Liquid Network. Sidechain rozlicza bitcoiny jako L-BTC, a tokeny są zabezpieczone BTC, które użytkownicy najpierw wpłacają do portfela tzw. Federacji. Według Bloomberga Blockstream pozyskał 210 mln USD po konferencji Bitcoin 2024 w Nashville. W kwietniu 2025 roku mowa była także o ponad 350 mln USD dla jednostki wydobywczej — choć Blockstream wydzielił działalność wydobywczą około dwa lata wcześniej.

L-BTC bez zabezpieczenia: jak exploit wypłuka 4 000 BTC

Atak wykorzystał lukę w Elements, oprogramowaniu, na którym działa Liquid. Błąd dotyczył pamięci podręcznej sprawdzającej dowody zakresu (range proofs) — kryptograficzne kontrole, które utrzymują poufność kwot transakcji na Liquid, pozwalając jednocześnie sieci weryfikować ich ważność. Najpierw napastnicy wykorzystali tę lukę do wytworzenia L-BTC bez pokrycia w bitcoinach. Następnie użyli klucza autoryzacji wypłat (Peg-out Authorization Key, PAK) usługi Liquid SideSwap, co pozwoliło im wymienić tokeny bez pokrycia na realne wypłaty BTC z portfela Federacji. Łańcuch exploitu połączył więc dwa zabezpieczenia spajające model federacyjny — oprogramowanie walidujące transakcje oraz klucze autoryzujące wypłaty — dlatego jedna luka mogła sięgnąć samej rezerwy zabezpieczającej wszystkie L-BTC.

Łącznie około 4 000 BTC warte mniej więcej 320 mln USD opuściło w ten sposób portfel. Przed atakiem trzymał on około 4 200 BTC; po ataku — tylko 197 BTC. Rezerwę tę, pochodzącą z wpłat użytkowników, przechowuje Federacja. W efekcie krążące L-BTC przejściowo pozbawione były większości zabezpieczenia.

Samozwańcy white hat zwracają większość środków

Napastnicy przedstawili się jako white hat, czyli badacze bezpieczeństwa, którzy zgłaszają luki zamiast je wykorzystywać. Później odesłali około 3 400 BTC. Zatrzymali jednak około 598 BTC, warte mniej więcej 47 mln USD, jako nagrodę, którą sami sobie wyznaczyli. W wiadomości on-chain napastnik zażądał 10-procentowej nagrody.

Samson Mow, były dyrektor ds. strategii Blockstreamu, potwierdził zaległą kwotę. Stwierdził także, że Blockstream pozostaje w kontakcie z hakerami white hat. Według własnych wyliczeń Blockstreamu kwota wynosi około 602 BTC. Firma analityczna TRM Labs ocenia incydent, o wartości około 319 mln USD, jako największy hack 2026 roku do tej pory; według analityków 85% środków spłynęło z powrotem.

Kilka dni po ataku łatka dla Elements zamknęła lukę, a sieć wznowiła później produkcję bloków. Blockstream ostatecznie odrzucił żądanie nagrody: „Nie zapłacimy za zwrot skradzionej własności. Nie porzucimy naszych użytkowników”. Firma nazywa incydent kradzieżą. Zabranie aktywów bez zgody i wstrzymywanie ich zwrotu to „przestępstwo, a nie odpowiedzialne ujawnienie”, jak stwierdziła — postępowanie, które jej zdaniem nie ma nic wspólnego z pracą white hat. Sposób postępowania z napastnikami żądającymi zapłaty to powracający dylemat po dużych exploitach krypto; odpowiedź Blockstreamu była tu jednoznaczną odmowąn
Już 10 września Back zapewniał, że powiązanie L-BTC z bitcoinem w stosunku 1:1 pozostanie zabezpieczone. Według jednak komunikatu Liquid z końca września wypłaty peg-out — transfery z Liquid z powrotem do blockchaina Bitcoina — pozostają wstrzymane. Około 602 zaległych BTC wlicza się zatem nadal do nieodzyskanych. Dla posiadaczy L-BTC zawieszenie jest praktycznym ograniczeniem, ponieważ bez peg-out bitcoin trzymany na Liquid nie może być wypłacony do głównej sieci; kolejny komunikat znoszący zawieszenie oraz ewentualne ruchy zaległych monet to widoczne sygnały, które warto obserwować.

BSTR i Cantor odwołują umowę o wartości 4 mld USD

Back jest także dyrektorem generalnym i współzałożycielem Bitcoin Standard Treasury Company (BSTR), pojazdu skarbca bitcoinowego — spółki, której bilans składa się głównie z bitcoinów. W lipcu 2025 roku BSTR podpisała umowę fuzji z notowaną na Nasdaq Cantor Equity Partners I (CEPO), spółką celową (SPAC) — notowaną firmą-powłoką, która wprowadza prywatną spółkę na giełdę poprzez fuzję. Zgodnie z pierwotnymi warunkami pojazd miał wnieść w ramach połączenia 30 021 BTC o wartości ponad 3 mld USD, a kolejne 1,5 mld USD miało pochodzić z PIPE, prywatnego pozyskania kapitału od wybranych inwestorów. Łącznie umowa zakładała wycenę na około 4 mld USD. Głosy nad transakcją przesuwały się jednak kilkakrotnie.

W sierpniu 2026 roku, nieco ponad rok po podpisaniu, BSTR i CEPO rozwiązały umowę. Komunikat prasowy BSTR (filing do SEC) opisuje rozwiązanie jako wzajemne i wskazuje jako powód słabe wyceny notowanych pojazdów skarbca bitcoinowego oraz zakłócenia na rynkach kapitałowych. Bloomberg z kolei przypisuje rozwiązanie umowy Cantorowi. Sprawa nie jest jednak zamknięta: według Cantora BSTR zalega z opłatą za rozwiązanie umowy w wysokości 15 mln USD. Na razie z planowanej miliardowej umowy pozostało więc roszczenie warte miliony.

Exacore: rachunki za prąd i pozwoly dostawców w branży wydobywczej

Exacore działa w wydobyciu bitcoinów, gdzie centra obliczeniowe produkują nowe bloki, zużywając przy tym duże ilości energii. Według Bloomberga wydzielona działalność wydobywcza Blockstreamu współpracowała z Exacore jako partnerem. Szefem Exacore jest, zgodnie z raportem, Chris Cook, długoletni zaufany Backa. Sąd skazał Cooka w 2008 roku na 41 miesięcy więzienia za oszustwo pocztowe, informuje Bloomberg, a na Florydzie toczy przeciwko niemu pozew w związku z Boeingiem 767.

Spółka użyteczności publicznej Xcel Energy pozwała Exacore o niezapłacone rachunki za prąd, z zaległością około 1,1 mln USD, według Bloomberga. Giga Energy wytoczyła powództwo w lutym, ponieważ Exacore miał rzekomo naruszyć umowę zakupu sprzętu wydobywczego; Exacore temu zaprzecza, pisze Bloomberg. Ponadto BLS Electrical dochodzi niecałego 1 mln USD za niezapłacone prace i sprzęt.

Szczegóły spraw pochodzą z raportu Bloomberga, a kwoty odzwierciedlają stanowisko powodów. Roszczenia samego Xcel i BLS sumują się do około 2 mln USD, dzięki czemu rachunek za prąd jest największą pozycją wśród skwantyfikowanych przez Bloomberga roszczeń. Miks roszczeń — energia elektryczna, sprzęt wydobywczy, prace elektryczne — odzwierciedla strukturę kosztów biznesu zbudowanego wokół energii i specjalistycznego sprzętu. Żadna z spraw nie została jeszcze rozstrzygnięta; w chwili wniesienia kwoty pozostają roszczeniami, a nie ustaleniami sądu.

Blockstream distansuje się od partnera wydobywczego

Blockstream zrywa z Exacore. Rzecznik powiedział, że spółka nie ma żadnego operacyjnego udziału w Exacore ani żadnego związku z firmą. Podobnie prezes Michael Minkevich dystansuje się od wydobycia, które opisuje jako kapitałochłonne i słabo pasujące do Blockstreamu.

Niemniej Bloomberg informuje o związku z wydobyciem biegnącym przez samego Backa. Dokument z 2025 roku wymienia go jako członka zarządu BM OpCo, podmiotu dłużnego w ramach Blockstream Mining Note 2 (BMN2), podaje raport. Według Blockstreamu Back nie posiada tam żadnych udziałów. Nota, wyemitowana w Luksemburgu w 2024 roku, przechodzi przez SICOS Securities, a tokenizacją zajmuje się STOKR. W październiku 2025 roku jej limit wzrósł z 200 mln USD do 2 mld USD. Back nie odpowiedział na zapytania Bloomberga.

Stan obecny

Około 600 BTC z exploitu na Liquid pozostaje nieodzyskanych, a Blockstream odmawia zapłacenia nagrody za ich zwrot. Bloomberg informuje, że wobec Exacore toczą się pozwoly ze skwantyfikowanymi roszczeniami na łączną kwotę około 2 mln USD. Według Cantora BSTR zalega również Cantorowi 15 mln USD. Konkretne sygnały do obserwowania to dalsze zwroty zaległych monet, komunikat Liquid znoszący zawieszenie peg-out, rozstrzygnięcie roszczenia o 15 mln USD oraz wyniki pozwów przeciwko Exacore.

Źródło: Crypto Valley Journal, na podstaw relacji Bloomberga.