У суботу ввечері за нью-йоркським часом із гаманця федерації Liquid Network зникло 3996 BTC — майже весь запас мережі. На той момент це було близько $320 млн, і біржі, що працюють із токеном LBTC, одразу зупинили введення й виведення коштів.
Liquid працює з 2018 року під крилом Blockstream. Задум простий: біржі, OTC-деки та фонди заводять біткоїн у мережу, отримують натомість LBTC і розраховуються між собою швидше й приватніше, ніж в основній мережі біткоїна. Реальні BTC за цими токенами спільно зберігають близько п'ятнадцяти учасників федерації.
У Blockstream заявили, що жодного ключа не викрадали. Причина — баг в Elements, форку Bitcoin Core, на якому працює Liquid: помилка в кеші перевірки range proof дала змогу створити LBTC без реального біткоїна під ним. Потім фальшиві токени обміняли на справжні BTC через торгову платформу SideSwap.
У ланцюжку транзакцій з'явився напис: «we are whitehats. contact us on chain» — «ми білі хакери, зв'яжіться з нами onchain». Blockstream публічно цю версію не підтвердила, але почала перемовини й за добу випустила патч для всіх вузлів мережі.
Отримавши підтвердження, що вразливість закрито, зловмисники повернули 3400 BTC — близько $272 млн. Собі вони залишили 598,5 BTC, це майже $47 млн і приблизно 15% від усієї суми. Жодної офіційної угоди про «винагороду» сторони не оприлюднили, тож решта коштів схожа радше на самопризначений гонорар, ніж на узгоджену домовленість.
Інші активи на Liquid — стейблкоїн USDT, бразильський DePix і токенізовані реальні активи — інцидент не зачепив. Але історія нагадує: навіть у давно перевіреній і консервативній інфраструктурі на кшталт біткоїн-сайдчейнів залишається ризик звичайної помилки в коді, а не лише викрадених ключів чи зламаних серверів.
