В субботу вечером по нью-йоркскому времени с кошелька федерации Liquid Network пропало 3996 BTC — почти всё, что там хранилось. В моменте это было около $320 млн, и биржи, работающие с токеном LBTC, сразу остановили ввод и вывод.
Liquid — это боковая цепь биткоина, которую с 2018 года развивает компания Blockstream. Идея простая: крупные игроки — биржи, OTC-деске, фонды — заводят биткоин в сеть, получают взамен токен LBTC и рассчитываются друг с другом быстрее и приватнее, чем в основной сети биткоина. Настоящие BTC при этом хранят совместно около пятнадцати участников федерации.
По данным Blockstream, ключи от вывода средств никто не взламывал. Причина — баг в Elements, форке Bitcoin Core, на котором работает Liquid: ошибка в кэше проверки range-proof позволила создать LBTC без реального биткоина под ним. Деньги не украли напрямую — их фактически напечатали из воздуха, а затем обменяли на настоящие BTC через торговую платформу SideSwap.
В цепочке транзакций появилось сообщение: «we are whitehats. contact us on chain» — «мы белые хакеры, свяжитесь с нами onchain». Blockstream эту версию публично не подтвердила, но начала переговоры и в течение суток выпустила патч для узлов сети.
Получив подтверждение, что уязвимость закрыта, атакующие вернули 3400 BTC — около $272 млн. Себе они оставили 598,5 BTC, это чуть больше $47 млн и примерно 15% от всей суммы. Официального соглашения о «вознаграждении» стороны не публиковали, так что остаток выглядит скорее как самоназначенный гонорар, чем как согласованная сделка.
Другие активы на Liquid — стейблкоин USDT, бразильский DePix и токенизированные реальные активы — инцидент не затронул. Но история напоминает: даже у давно работающей и консервативной инфраструктуры вроде биткоин-сайдчейнов остаётся риск обычной софтверной ошибки, а не только украденных ключей.
