Около 4 000 BTC вывели из Liquid Network — федеративного сайдчейна, управляемого Blockstream Адама Бэка, — в начале сентября, и атакующие до сих пор не вернули примерно 600 BTC — сумму на уровне около 47 млн долларов. Взлом совпал с дальнейшей турбулентностью вокруг проектов Бэка: сорвалась сделка по биткоин-казначейству на 4 млрд долларов из его окружения, и, по данным Bloomberg, несколько компаний подали в суд на майнинговую компанию Exacore. Доказательств причинно-следственной связи между взломом, сорвавшейся сделкой и исками нет.

Бэк — криптограф, чья схема Hashcash упоминается в white paper Bitcoin, и потому он считается одним из пионеров и ранних энтузиастов Bitcoin. В 2014 году он основал Blockstream, которая строит инфраструктуру для Bitcoin, включая Liquid Network. Сайдчейн рассчитывает биткоины в виде L-BTC, при этом токены обеспечены BTC, которые пользователи сначала вносят в кошелёк так называемой Федерации. По данным Bloomberg, после конференции Bitcoin 2024 года в Нэшвилле Blockstream привлекла 210 млн долларов. В апреле 2025 года также шла речь о более чем 350 млн долларов для майнингового подразделения — хотя Blockstream выделила майнинговый бизнес в отдельную компанию примерно двумя годами ранее.

L-BTC без обеспечения: как эксплойт опустошил 4 000 BTC

Атака использовала уязвимость в Elements — программном обеспечении, на котором работает Liquid. Баг затронул кэш, проверяющий range proofs — криптографические проверки, которые сохраняют конфиденциальность сумм транзакций в Liquid, позволяя сети убеждаться в их корректности. Сначала атакующие использовали эту брешь для создания L-BTC без биткоинового обеспечения. Затем они применили ключ авторизации вывода (Peg-out Authorization Key, PAK) сервиса SideSwap в Liquid, что позволило им обменять необеспеченные токены на реальные выводы BTC из кошелька Федерации. образом, цепочка эксплойта объединила оба защитных механизма, удерживающих федеративную модель, — ПО, проверяющее транзакции, и ключи, авторизующие выводы, — поэтому единственная уязвимость смогла добраться до самого резерва, обеспечивающего все L-BTC.

В сумме таким образом из кошелька ушло около 4 000 BTC стоимостью примерно 320 млн долларов. До атаки он хранил около 4 200 BTC; после — лишь 197 BTC. Этот резерв, формируемый из депозитов пользователей, находится у Федерации. В результате обращающиеся L-BTC временно лишились большей части обеспечения.

«Белые шляпы» вернули большую часть средств

Атакующие представились white hat, то есть исследователями безопасности, которые сообщают об уязвимостях вместо их эксплуатации. Позднее они вернули около 3 400 BTC. Однако они оставили себе около 598 BTC стоимостью примерно 47 млн долларов в качестве назначенной ими самими награды. В ончейн-сообщении атакующий потребовал выкуп в размере 10%.

Сэмсон Моу, бывший директор по стратегии Blockstream, подтвердил невозвращённую сумму. Он также заявил, что Blockstream сохраняет контакт со взломщиками. По собственным подсчётам Blockstream, речь идёт примерно о 602 BTC. Аналитическая компания TRM Labs оценивает инцидент примерно в 319 млн долларов и считает его крупнейшим взломом 2026 года на данный момент; по данным аналитиков, 85% средств вернулись.

Через несколько дней после атаки патч для Elements закрыл уязвимость, и позже сеть возобновила производство блоков. Blockstream в итоге отвергла требование о выкупе: «Мы не будем платить за возврат украденного имущества. Мы не оставим наших пользователей». Компания называет инцидент кражей. Изъятие активов без разрешения и удержание их возврата — «преступление, а не ответственная раскрытие информации», — заявила она, добавив, что, по её мнению, к работе white hat это не имеет отношения. Вопрос о том, как поступать с атакующими, требующими оплаты, — повторяющаяся дилемма после крупных криптоэксплойтов; ответ Blockstream здесь был однозначным отказом.

Ещё 10 сентября Бэк заверил, что привязка L-BTC к биткоину 1:1 останется обеспеченной. Однако, согласно уведомлению Liquid от конца сентября, выводы средств (peg-outs) — переводы из Liquid обратно в блокчейн Bitcoin — остаются приостановленными. Поэтому примерно 602 невозвращённых BTC по-прежнему считаются не восстановленными. Для держателей L-BTC приостановка — это практическое ограничение: без peg-outs биткоины, находящиеся в Liquid, нельзя вывести в основную сеть; последующее уведомление о снятии приостановки и любые движения невозвращённых монет — заметные маркеры, за которыми стоит следить.

BSTR и Cantor отменили сделку на 4 млрд долларов

Бэк также является генеральным директором и соучредителем Bitcoin Standard Treasury Company (BSTR) — биткоин-казначейского инструмента, то есть компании, чей баланс состоит в основном из биткоинов. В июле 2025 года BSTR подписала соглашение о слиянии с котирующейся на Nasdaq Cantor Equity Partners I (CEPO) — SPAC, special purpose acquisition company, то есть публичной «компанией-оболочкой», выводящей частную компанию на биржу через слияние. По первоначальным условиям инструмент должен был внести в объединённую структуру 30 021 BTC стоимостью более 3 млрд долларов, а ещё 1, млрд долларов предполагалось привлечь через PIPE — частное размещение среди избранных инвесторов. В целом сделка подразумевала оценку около 4 млрд долларов. Однако голосование по сделке несколько раз откладывалось.

В августе 2026 года, чуть больше года спустя после подписания, BSTR и CEPO расторгли соглашение. Пресс-релиз BSTR (документ SEC) описывает расторжение как взаимное и называет причиной слабые оценки публичных биткоин-казначейских инструментов и нарушения на рынках капитала. Bloomberg, со своей стороны, приписывает расторжение Cantor. Вопрос не закрыт: по данным Cantor, BSTR должна пошлину за расторжение в размере 15 млн долларов. Пока от запланированной многомиллиардной сделки осталось лишь требование на миллионы долларов.

Exacore: счета за электроэнергию и иски поставщиков в майнинговом бизнесе

Exacore работает в области майнинга биткоинов, где вычислительные мощности производят новые блоки и потребляют при этом большое количество электроэнергии. По данным Bloomberg, выделенное майнинговое подразделение Blockstream сотрудничало с Exacore как с партнёром. Возглавляет Exacore, по данным отчёта, Крис Кук, давний доверенный человек Бэка. Суд приговорил Кука в 2008 году к 41 месяцу тюрьмы за почтовое мошенничество, сообщает Bloomberg; кроме того, во Флориде против него рассматривается иск в связи с Boeing 767.

Коммунальная компания Xcel Energy подала на Exacore в суд из-за неоплаченных счетов за электроэнергию, по которым задолженность составляет около 1,1 млн долларов, по данным Bloomberg. Giga Energy подала иск в феврале, утверждая, что Exacore нарушила договор купли-продажи майнингового оборудования; Exacore это отрицает, пишет Bloomberg. Кроме того, BLS Electrical требует чуть менее 1 млн долларов за неоплаченные работы и оборудование.

Детали дел взяты из отчёта Bloomberg, а суммы отражают позицию истцов. Требования Xcel и BLS в сумме составляют около 2 млн долларов, что делает счёт за электроэнергию самой крупной статьёй среди требований, которые Bloomberg квантифицирует. Сочетание требований — электроэнергия, майнинговое оборудование, электромонтажные работы — отражает структуру затрат бизнеса, построенного вокруг электроэнергии и специализированной техники. Ни одно из дел пока не решено; на момент подачи исков суммы остаются требованиями, а не судебными выводами.

Blockstream дистанцируется от майнингового партнёра

Blockstream проводит границу между собой и Exacore. Представитель компании заявил, что она не имеет никакого операционного участия в Exacore и никакой связи с фирмой. Аналогично президент Майкл Минкевич дистанцируется от майнинга, называя его капиталоёмким и плохо подходящим для Blockstream.

Тем не менее Bloomberg сообщает о связи с майнингом, которая проходит через самого Бэка. По данным отчёта, документ 2025 года называет его директором BM OpCo — заёмщика по Blockstream Mining Note 2 (BMN2). По даннымstream, Бэк не владеет долей в этой компании. Нота, выпущенная в Люксембурге в 2024 году, проходит через SICOS Securities, а токенизацией занимается STOKR. В октябре 2025 года её объём вырос с 200 млн до 2 млрд долларов. Бэк не ответил на запросы Bloomberg.

Текущая ситуация

Около 600 BTC от эксплойта Liquid остаются невозвращёнными, и Blockstream отказывается платить выкуп за их возврат. По данным Bloomberg, против Exacore рассматриваются иски с квантифицированными требованиями на общую сумму около 2 млн долларов. По утверждению Cantor, BSTR также должна Cantor 15 млн долларов. Далее стоит следить за конкретными маркерами: возвратом невозвращённых монет, уведомлением Liquid о снятии приостановки peg-outs, урегулированием требования о пошлине в 15 млн долларов и исходами исков к Exacore.

Источник: Crypto Valley Journal, на основе репортажей Bloomberg.