Die selbsternannten White-Hat-Akteure hinter der Abziehung von fast 4.000 BTC aus dem Liquid Network von Blockstream haben 3.400 BTC an das Föderations-Wallet der Sidechain zurückgegeben und damit etwa 85 Prozent der abgezogenen Mittel wiederhergestellt. Nahezu 600 BTC verbleiben bei den Akteuren, sodass jeder L-BTC-Token nur noch teilweise durch Bitcoin im Reserve-Wallet der Föderation gedeckt ist.
Der ursprüngliche Exploit entfaltete sich am 6. September, als ein Softwarefehler in der Elements-Codebasis eine abnormale Peg-out-Transaktion durch den standardmäßigen Autorisierungsprozess der Sidechain passieren ließ. In den folgenden 24 Stunden führten die Akteure und Blockstream eine ungewöhnliche Verhandlung ausschließlich über Nachrichten, die in Bitcoin-Transaktionen eingebettet waren, und tauschten PGP-signierte Notizen sowie On-Chain-Korrespondenz aus. Die teilweise Rückgabe am 7. September war die bedeutendste Entwicklung seit dem Exploit.
Wie sich der Exploit und die Verhandlung entfalteten
Die Sequenz begann etwa um 14:05 UTC am 6. September, als ein Kunde 4.000 L-BTC bei SideSwap, einer auf Liquid aufgebauten dezentralen Börse, zur Umwandlung in Bitcoin auf der Mainchain einreichte. SideSwap erklärte, die Anfrage habe seinen normalen Autorisierungsprozess passiert, was die Föderation von Liquid – ein 11-von-15-Multisig-Gremium – dazu veranlasste, den Peg-out zu genehmigen. Dreiundzwanzig Minuten später, um 14:28 UTC, verließen 3.996,01834922 BTC die Multisig-Reserven der Föderation über einen Peg-out Authorization Key, laut CryptoBriefing.
Die Proof-of-Reserves-Seite der Föderation wies anschließend Bestände von etwa 197 BTC aus, gegenüber mehr als 4.200 BTC vor dem Ereignis – ein Rückgang von 95 Prozent in einer einzigen Transaktion. Sowohl Blockstream als auch SideSwap führten die Abhebung auf einen Softwarefehler in Elements zurück, der Open-Source-Codebasis, die die Infrastruktur von Liquid antreibt, und nicht auf kompromittierte Signaturschlüssel. Der Exploit ermöglichte es ungültigen L-BTC, in einen gültigen Peg-out-Ablauf einzutreten, wodurch sowohl das Multisig- als auch das Peg-out-Authorization-Key-System umgangen wurden.
Was folgte, war selbst nach Krypto-Maßstäben ungewöhnlich. Die Akteure sendeten OP_RETURN-Nachrichten – kleine Datennutzlasten, die dauerhaft in der Bitcoin-Blockchain aufgezeichnet werden – und adressierten Blockstream direkt. Eine Nachricht lautete: "we are whitehats. contact us on chain." Blockstream antwortete mit der Bitte, security@blockstream.com zu kontaktieren, und beide Seiten tauschten anschließend PGP-signierte Nachrichten über Bitcoin-Transaktionen aus. Die Akteure erklärten, sie würden "most" der Bitcoin zurückgeben, sobald der Fehler behoben sei. Blockstream antwortete: "Please fix the bug first. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix."
Die teilweise Rückgabe und die fehlende Belohnung
Am 7. September um 16:09 UTC sandten die Akteure 3.400 BTC in einer einzigen Transaktion an das Peg-Wallet der Föderation (Bitcoin-Block 965.950) und behielten 598,5 BTC – rund 15 Prozent der ursprünglichen Abhebung – in einer separaten Adresse. Blockstream hatte zuvor eine signierte On-Chain-Nachricht gesendet, in der es hieß: "Bridge nodes are patched, safe to return the funds."
Weder Blockstream noch die Akteure haben öffentlich erklärt, dass die einbehaltenen 598,5 BTC eine genehmigte Belohnung darstellen. Charles Guillemet, Chief Technology Officer von Ledger, charakterisierte die Dynamik kritisch: "So, 3,400 BTC were refunded. The 'white hats' still hold 600 BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking!" CertiK Alert merkte an, der einbehaltene Betrag "could potentially be a bounty reward", obwohl keine formelle Vereinbarung offengelegt wurde.
Die Rückgabe hinterlässt jeden im Umlauf befindlichen L-BTC mit etwa 86 Cent in Bitcoin gedeckt statt mit einem Dollar, basierend auf rund 3.600 BTC, die im Peg-Wallet der Föderation verbleiben, gegenüber rund 4.200 ehrlichen L-BTC im Umlauf. Um diese Lücke zu schließen – die Unterdeckung von 598,5 BTC plus die Gebühr von SideSwap und Dry-Run-Transaktionen – ist entweder eine weitere Rückgabe der Akteure oder eine Kapitalspritze der Föderationsmitglieder erforderlich.
Was ungeklärt bleibt
Blockstream hat keine technische Post-Mortem-Analyse veröffentlicht, die genau erklärt, wie der Fehler entdeckt wurde, was die Korrektur umfasst oder ob die gepatchte Version eine ähnliche Ausnutzung in Zukunft verhindert. Der Bitcoin-Entwickler Adam Simecka, Gründer von MannaBitcoin, argumentierte, Blockstream habe eine ältere Elements-Schwachstelle in Phasen gepatcht und offengelegt, wo sie lag, bevor jeder Knoten die Korrektur anwendete, was Fragen dazu aufwirft, ob die öffentliche Offenlegung den Exploit angezogen hat.
Die Bridge-Knoten von Liquid bleiben deaktiviert, ohne angekündigten Zeitplan für einen Neustart. Börsen setzen Ein- und Auszahlungen von L-BTC weiterhin aus, und die Föderation hat nicht offengelegt, wie sie die vollständige Deckung wiederherstellen will. Tether's USDT auf Liquid und andere emittierte Vermögenswerte sind nicht betroffen, da der Fehler spezifisch für den BTC-Peg-out-Mechanismus war.
Der Vorfall erinnert an den Ronin-Bridge-Fall von 2024, als ein White-Hat-MEV-Searcher eine Schwachstelle ausnutzte und etwa 4.000 ETH und $2 Millionen in USDC abzog. Ronin löste diesen Fall in etwa 80 Minuten mit einer $500.000-Belohnung. Die Liquid-Episode ist fast 27-mal größer und hat Tage statt Stunden gebraucht, um ihre derzeitige teilweise Lösung zu erreichen.
Quellen
- Decrypt, "Liquid Hackers Return $270M in Bitcoin After Swiping $320 Million," September 7, 2026. decrypt.co
- Bitquery, "Liquid Network Hack Explained: Blockstream Sidechain Loses 4,000 BTC," September 8, 2026. bitquery.io
- The Bitcoin Manual, "3,400 BTC Returned To The Liquid Network," September 7, 2026. thebitcoinmanual.com
- Decrypt, "Purported White-Hat Hackers Withdraw $320M in Bitcoin From Liquid," September 6, 2026. decrypt.co
- ETHNews, "Liquid Network Exploit Drains $320M, Blockstream Halts Sidechain," September 6, 2026. ethnews.com
