В результате взлома Liquid Network с Bitcoin-сайдчейна Blockstream было выведено около 4 000 BTC стоимостью примерно 320 млн долларов. Предполагаемые атакующие впоследствии предложили вернуть большую часть средств при условии, что сеть сначала устранит использованную уязвимость.

Liquid — это сайдчейн Bitcoin. Биржи и торговые платформы используют его для быстрого и конфиденциального перевода BTC между собой, избегая более медленной и дорогой основной сети Bitcoin. Пользователи сначала блокируют Bitcoin в федеративном кошельке и взамен получают токен L-BTC в соотношении 1:1. Этот дизайн отличается от самого Bitcoin: вместо консенсуса proof-of-work мостом между двумя сетями совместно управляет федерация компаний, из-за чего целостность привязки зависит как от честности этой группы, так и от корректности её программного обеспечения. Blockstream Corp запустила Liquid в 2018 году; компанию соосновал Адам Бэк. По данным Blockstream, федерация включает более 80 компаний, а пятнадцать федератов (functionaries) авторизуют выплаты через мультисиг 11-of-15.

6 сентября 2026 года примерно 4 000 из около 4 200 BTC, ранее находившихся в этом резерве, покинули сеть, оставив около 197 BTC. Транзакции прошли через SideSwap — платформу расчётов, авторизованную для peg-out. По данным Liquid Network, ключ SideSwap остался нетронутым.

Атаку позволил программный баг

Атакующие не похищали ключ. Предварительные технические анализы указывают на дефект в узле Elements — программном обеспечении сайдчейна. Затронутым компонентом является кэш rangeproof, который сеть использует для конфиденциальных транзакций. В результате атакующие смогли создавать L-BTC без обеспечения заблокированным Bitcoin. При выполнении peg-out федерация проверяла лишь, авторизован ли адрес выплаты; она не проверяла обеспечение представленных L-BTC. 15 федератов хранят ключи в выделенном оборудовании HSM и также валидируют блоки сайдчейна.

Исправление, по-видимому, уже существовало. 3 августа 2026 года разработчик Blockstream закоммитил «fix: range proof cache bind to asset and scriptpubkey». Однако это изменение попало в релизную ветку лишь после инцидента, то есть релиз 23.3.3 — версия, работавшая в продакшене, — его не содержал. Разрыв между внесением исправления и его развёртыванием подчёркивает более широкую операционную проблему федеративных сетей: безопасность зависит не только от обнаружения уязвимостей, но и от своевременного обновления каждым федератом.

Ранний сигнал подали и обозреватели блоков. Собственный Liquid-обозреватель Blockstream принял спорный блок 4 050 336, тогда как независимый сервис mempool.space его отклонил. В результате SideSwap не могла видеть происхождение монет; сервис заявил, что не имел способа отличить эти монеты от обычных L-BTC.

На уровне блока запрос на выплату поступил в 14:06 UTC. Примерно через двадцать минут федерация выплатила средства в основной сети Bitcoin. Точная сумма зависит от точки измерения: peg-out охватил около 3 996 BTC, тогда как выплата федерации с учётом комиссий в итоге составила около 4 019 BTC. Системы защиты хранений не охватывают уровень, на котором произошёл этот инцидент, — ключи остались целы. Сбой произошёл в коде.

Blockstream временно останавливает Liquid Network

Сеть ответила остановкой. Операторы отключили мостовые узлы, чтобы новые транзакции не могли поступать, а биржам одновременно предписали приостановить депозиты и вывод L-BTC. Другие активы, выпущенные в Liquid, в том числе Tether и бразильский DePix, как сообщается, не пострадали.

«Liquid-кошельки будут затронуты, и мы приносим извинения за возможные неудобства». — Liquid Network, официальное заявление

Масштаб остановки определяется пользовательской базой: федерация насчитывает более 80 бирж, инфраструктурных компаний и управляющих активами. Blockstream указывает среди пользователей Bitfinex и BTSE, а также BitMEX, который закрывается в сентябре 2026 года. Примечательно, что Bitfinex и Tether имеют общую материнскую компанию. Эти фирмы используют сайдчейн для быстрых расчётов, поскольку переводы в основной сети Bitcoin занимают больше времени и стоят дороже. Однако публичных заявлений от названных бирж пока не последовало.

Сама Blockstream воздержалась от комментариев. Ни компания, ни сооснователь Адам Бэк не прокомментировали отток средств в X к моменту публикации, и главными публичными голосами остались аккаунт сети и SideSwap.

Предполагаемые атакующие сигнализируют о частичном возврате

Ответственные за атаку дали о себе знать в блокчейне. «we are whitehats. contact us on chain» — гласило сообщение, встроенное ими в транзакцию. День спустя последовало предложение вернуть большую часть средств после того, как разработчики устранят уязвимость: сначала разработчики должны исправить баг и обновить все узлы, после чего атакующие безопасно вернут деньги. Blockstream также ответила в блокчейне и указала другой стороне на security@blockstream.com.

В отрасли сомневаются в такой самооценке. CTO Ledger Шарль Гийеме публично отметил, что серьёзные исследователи безопасности обычно сообщают об уязвимости до перемещения резервов такого масштаба. Возражение обоснованно: тот, кто выводит 95% резерва и парализует сеть, ведёт переговоры с позиции силы, которую обычное раскрытие уязвимости никогда бы не создало.

Инцидент пополнил дорогой год взломов

Масштаб выделяется и в годовом сравнении. По данным TRM Labs, до оттока из Liquid потери от взломов в 2026 году составляли около 1,2 млрд долларов по 276 инцидентам. До этого третьим по величине единичным случаем года была атака на аппаратные кошельки Coldcard в конце июля, в ходе которой со счётов более 5 200 адресов было выведено около 116 млн долларов — примерно 1 816 BTC. В конце августа эксплойт затронул и кредитную платформу Tectonic в сети Cronos. Атакующий завысил цену токена Tonic примерно в 300 раз за 20 минут, что позволило ему занять более 74 млн долларов, а в итоге получить около 6 млн долларов чистой прибыли. Валидаторы Cronos затем заморозили торговлю. С учётом оттока из Liquid заявленные потери 2026 года приближаются к 1,5 млрд долларов, и этот случай войдёт в число крупнейших криптоэксплойтов в истории — по масштабу сопоставим с крупными взломами мостов прошлых лет, такими как Ronin и Wormhole. Итог предложения атакующих о возврате средств, темпы развёртывания патча Elements на узлах федерации и eventual возобновление депозитов и вывода L-BTC — ключевые открытые вопросы для пользователей сети в ближайшие дни.