Неизвестные злоумышленники, называющие себя «белыми хакерами», похитили 4000 BTC у сайдчейна Liquid Network, а затем вернули 3400 из них. Изначально стоимость похищенных средств оценивалась примерно в 320 млн долларов США (по курсе на момент атаки), и пока 598,5 BTC стоимостью около 47 млн долларов США еще остаются в распоряжении хакеров.
Инцидент произошел в минувшие выходные, 6 сентября 2026 года, и затронул Liquid Network — федеративный сайдчейн Bitcoin, разработанный специалистами Blockstream и используемый, в том числе, криптобиржами и финансовыми организациями. Сетью управляет Liquid Federation — объединение организаций, которые участвуют в работе и обеспечении инфраструктуры Liquid. С помощью Liquid Network пользователи могут переводить BTC в Liquid: биткоины блокируются в кошельке с мультиподписью, а пользователь получает эквивалентное количество L-BTC. Эти активы привязаны к биткоину в соотношении 1:1.
До атаки в кошельке федерации находилось около 4200 BTC, и хакеры сумели вывести примерно 95% резервов — около 4000 BTC. После этого работу Liquid приостановили, а биржи попросили временно отключить ввод и вывод L-BTC. При этом другие активы, включая USDT и DePix, атака не затронула.
Ответственность за эту атаку взяли на себя люди, которые называют себя «белыми хакерами». Они оставили сообщение для разработчиков прямо в блокчейне Bitcoin и пообещали вернуть большую часть украденных средств после устранения уязвимости: «Сначала исправьте баг. Убедитесь, что пропатчен каждый узел. После подтверждения исправления мы безопасно вернем деньги».
Специалисты Blockstream ответили хакерам тем же способом, а позже стороны продолжили общение по закрытым каналам.
Известно, что биткоины вывели через SideSwap с использованием ключа Peg-out Authorization Key (PAK), который участвует в подтверждении вывода средств из Liquid обратно в Bitcoin. Однако представители Blockstream и SideSwap сразу заявили, что ни PAK, ни другие ключи не были скомпрометированы.
В SideSwap сообщили, что L-BTC, использованные для вывода средств, были созданы с омощью бага в Elements — ПО, на котором работает Liquid. При этом подчеркивается, что ни системы SideSwap, ни PAK скомпрометированы не были. Сервис обработал заявку как обычный вывод средств, после чего Liquid Federation перевела атакующим около 4000 BTC.
Позже специалисты Liquid раскрыли причину инцидента. По их словам, атакующие действительно воспользовались багом в Elements и создали около 4000 L-BTC, которые не были обеспечены реальными биткоинами. Система ошибочно сочла эти активы легитимными, после чего хакеры использовали их для штатного peg-out через SideSwap и в результате получили около 4000 BTC.
На следующий день после атаки, 7 сентября, хакеры вернули на адрес федерации 3400 BTC — около 85% выведенных средств (примерно 263–265 млн долларов США по курсу на тот момент). Оставшиеся 598,5 BTC (около 47 млн долларов США) пока находятся в распоряжении атакующих.
В настоящее время ни в Blockstream, ни в Liquid публично не объяснили, что будет с этими 598,5 BTC и являются ли они согласованным «вознаграждением», которое хакеры оставят себе. Судя по всему, переговоры о возврате средств еще продолжаются.
Технический директор Ledger Шарль Гийме (Charles Guillemet) отмечает, что если примерно 600 BTC действительно оставят хакерам в качестве вознаграждения, то эту схему вряд ли можно назвать обычным white hat-исследованием, и произошедшее больше напоминает вымогательство.
