W sobotni wieczór czasu wschodniego USA z portfela federacji stojącej za Liquid Network, najstarszym sidechainem Bitcoina, zniknęło 3996 BTC — niemal cały zasób sieci. W tamtym momencie było to około 320 mln dolarów, a giełdy obsługujące token LBTC niemal od razu wstrzymały wpłaty i wypłaty.
Liquid działa od 2018 roku pod skrzydłami Blockstream. Pomysł jest prosty: giełdy, biura OTC i fundusze blokują bitcoina, dostają w zamian LBTC i rozliczają się między sobą szybciej i bardziej prywatnie niż na głównym łańcuchu Bitcoina. Prawdziwe BTC stojące za tymi tokenami przechowuje wspólnie około piętnastu uczestników federacji.
Blockstream twierdzi, że żaden klucz nie został skradziony. Problem tkwił w Elements, forku Bitcoin Core, na którym działa Liquid — błąd w pamięci podręcznej weryfikacji range proof pozwolił wykreować LBTC bez zablokowania odpowiedniej ilości bitcoina. Tak powstałe tokeny wymieniono potem na prawdziwe BTC przez platformę SideSwap.
W wiadomości dołączonej on-chain do transakcji napisano: „we are whitehats. contact us on chain” — „jesteśmy white hatami, skontaktujcie się z nami on-chain”. Blockstream nigdy nie potwierdził tej wersji, ale nawiązał rozmowy i w ciągu doby wypuścił łatkę dla wszystkich węzłów.
Gdy potwierdzono, że luka jest załatana, atakujący odesłał 3400 BTC, czyli około 272 mln dolarów. Dla siebie zatrzymał 598,5 BTC — blisko 47 mln, czyli około 15% łupu — choć żadna publiczna umowa nie nazwała tego nagrodą. To wygląda bardziej na honorarium, które sam sobie ustalił.
Inne aktywa działające na Liquid, w tym USDT i tokenizowane aktywa realne, nie ucierpiały. Ten epizod pokazuje, że nawet dojrzała i prowadzona ostrożnie infrastruktura Bitcoina może paść ofiarą zwykłego błędu w kodzie, a nie tylko spektakularnej kradzieży klucza.
