В воскресенье с сети Liquid, сайдчейна Биткоина, разработанного Blockstream, было выведено около 4000 биткоинов на сумму примерно 320 миллионов долларов. Лица, стоящие за эксплойтом, заявили, что они являются «белыми хакерами» и общались с Blockstream через сообщения, встроенные в транзакции Биткоина с использованием OP_RETURN. Впоследствии злоумышленники вернули 3400 биткоинов федерации Liquid, сохранив 598,5 биткоина (стоимостью около 47 миллионов долларов).

Инцидент, по-видимому, не был связан с компрометацией ключей от мультиподписного адреса, который лежит в основе сети на базовом блокчейне Биткоина. Вместо этого, очевидная ошибка в программном обеспечении узлов Liquid позволила злоумышленникам создать необеспеченные Liquid Bitcoin (L-BTC), а затем использовать эти монеты для инициирования легитимного вывода средств с сайдчейна обратно в основную сеть Биткоина.

Что такое сеть Liquid?

Liquid — это сайдчейн, предназначенный для перемещения биткоинов и других активов на отдельный блокчейн с более быстрыми транзакциями и дополнительными функциями, включая более приватные транзакции и выпуск активов. Он управляется федерацией Liquid, группой компаний, ориентированных на Биткоин, которая включает биржи, торговые фирмы, поставщиков кошельков и другие инфраструктурные бизнесы. Blockstream разрабатывает большую часть программного обеспечения сети и работает с федерацией над ее технической дорожной картой.

Когда кто-то перемещает биткоины в Liquid, биткоины блокируются в кошельке, контролируемом федерацией, и эквивалентная сумма Liquid Bitcoin, или L-BTC, создается на сайдчейне. Liquid управляется федерацией из более чем 80 членов, но в настоящее время только 15 управляют специализированными функциональными устройствами, находящимися в центре сети. Эти функциональные устройства как производят и подписывают блоки Liquid, так и обеспечивают безопасность биткоинов, хранящихся в мультиподписном кошельке 11 из 15 членов федерации в основной сети Биткоина.

Как произошел эксплойт на 320 миллионов долларов

Технические детали произошедшего довольно сложны, но суть в том, что ошибка в программном обеспечении привела к тому, что некоторые узлы Liquid приняли транзакцию, которая создала больше L-BTC, чем система фактически имела обеспечения.

Согласно сводке, опубликованной в X псевдонимным разработчиком индустрии Биткоина Mononaut, Liquid изначально представила уязвимость, связанную с криптографическими доказательствами, используемыми для проверки транзакций, в 2019 году. На прошлой неделе разработчики попытались исправить эту проблему с помощью обновления программного обеспечения. Однако это обновление, по-видимому, также внесло новую ошибку.

There’s some confusion about what, exactly, was exploited here.

I’ve seen claims that this was a long-standing bug, exploited after the “fix” was pushed to the open source repo but before that fix could be rolled out in production.

That does not appear to be true.

Instead, it… https://t.co/TJeSL7g6kbpic.twitter.com/TazXXpjzWv

— mononaut (@mononautical) September 7, 2026

В воскресенье злоумышленники воспользовались этой уязвимостью. Узлы, подверженные ошибке в обновленном программном обеспечении, приняли транзакцию как действительную, что позволило злоумышленнику фактически создать около 4000 необеспеченных L-BTC.

Некоторые узлы Liquid, по-видимому, работали на официальных версиях программного обеспечения, не содержащих новой ошибки. Эти узлы отклонили транзакцию эксплойта и остановились на высоте блока 4 050 335. Однако соответствующие узлы, участвующие в процессе вывода средств, к сожалению, работали на новом программном обеспечении.

Новосозданные L-BTC затем были отправлены через SideSwap для процесса вывода средств, и федерация в конечном итоге выпустила около 3996 биткоинов на адрес Биткоина, контролируемый злоумышленником. Официальный аккаунт Liquid Network в X сообщил, что ключ авторизации SideSwap и другие ключи федерации не были скомпрометированы во время атаки. Подписанты сделали именно то, что должны были сделать, потому что программное обеспечение сообщило им, что вывод средств был легитимным.

Роль SideSwap в инциденте также вызывает вопросы, поскольку система вывода средств Liquid разработана для ограничения снятия средств авторизованными членами федерации и разрешенными адресами Биткоина. Однако в данном случае около 4000 новосозданных L-BTC были обработаны через службу вывода средств SideSwap, что привело к тому, что федерация выпустила 3996 биткоинов на адрес Биткоина злоумышленника.

Исследователь безопасности Биткоина и член Liquid Виз (Wiz) заявил: «Если SideSwap нарушил эту строгую политику безопасности, согласно которой членам разрешено выводить средства только в офлайн-холодное хранилище, то они частично несут ответственность за кражу».

Другие предложения сайдчейнов пытались решить подобные проблемы с помощью временных задержек. Системы, такие как Drivechains и Rootstock, имеют механизмы, предназначенные для предоставления операторам большего времени для выявления и остановки подозрительных снятий средств до того, как средства покинут систему.

Примечательно, что подобная ошибка, связанная с возможностью создания фальшивой криптовалюты, появилась в Zcash ранее в этом году. Уязвимость в системе защищенных транзакций Orchard теоретически могла позволить несанкционированное создание ZEC. Это была вторая подобная уязвимость с потенциалом скрытой инфляции, обнаруженная в истории Zcash.

Everyone has to install it themselves so it’s better than one person push. But no one validated shit. Federation would have just installed code that sent to blockstream devs private wallet if they were told.

— alp (@alpacasw) September 7, 2026

Возможность обновления кода одной стороной, которое фактически позволило совершить недавнюю кражу биткоинов, обеспеченных сетью Liquid, заставила некоторых критиковать модель безопасности сайдчейна как «театр децентрализации». Контрибьютор Bitcoin Core Майкл Фольксон (Michael Folkson) кратко изложил критику в X, написав: «Итак, как я утверждал ранее, это фактически единая подпись. Любой, кто пишет и отправляет код «если действительно…», может перемещать средства. Фактическая мультиподписная подпись — это театр безопасности».

Концепция «театра децентрализации» в последние годы становится все более распространенной критикой криптопространства в целом, поскольку стейблкоины, корпоративные блокчейны и другие точки централизации привели к тому, что отрасль со временем все больше напоминает традиционную финансовую систему, и создали кризис цели для децентрализованных блокчейнов общего назначения.

Сеть Liquid также получила раннее предупреждение о сложности своей архитектуры безопасности. В 2020 году ошибка временной блокировки сделала около 870 биткоинов доступными через экстренный мультиподписной кошелек 2 из 3 вместо обычного механизма федерации 11 из 15. Средства так и не были украдены, и Blockstream исправила проблему, но инцидент продемонстрировал, что модель безопасности сайдчейна полагается не только на федерацию из 15 членов.

Белые шляпы или кто-то другой?

Неясно, кто стоит за эксплойтом, но в X технический директор Ledger Чарльз Гийемет (Charles Guillemet) написал: «Они не похожи на белых шляп, и они не похожи на обычных преступников».

Злоумышленники неоднократно называли себя белыми шляпами и требовали исправить уязвимость перед возвратом большей части биткоинов, но, по словам основателя Gart Алены Врановой (Alena Vránová), это не обязательно защищает их от юридических последствий. «Если вы используете уязвимость, крадете 4000 BTC и требуете исправления в качестве выкупа, это вымогательство», — написала Вранова в X. «Это может означать обвинения в тяжком преступлении и длительное тюремное заключение. В США до 20 лет, а обвинения в компьютерном мошенничестве могут добавить еще».

Blockstream в конечном итоге сообщил хакерам, что соответствующие узлы моста были исправлены, и хакеры позаботились о том, чтобы подтвердить правильный адрес для возврата средств. Ближе к концу их обмена сообщениями через транзакции OP_RETURN все сообщения, опубликованные в блокчейне, были зашифрованы с помощью PGP. В итоге злоумышленник отправил 3400 биткоинов обратно на адрес федерации Liquid и оставил себе 598,5 биткоина, или примерно 15% от первоначально выведенной суммы.

В настоящее время неясно, сыграл ли ИИ роль в обнаружении уязвимости, но криптоиндустрия в этом году стала все более подверженной взломам с помощью ИИ. Апрель был худшим месяцем за всю историю по количеству крипто-взломов, с почти одним инцидентом в день. В X Orangesurf из Mempool утверждал, что Fable 5 смог выявить уязвимость, лежащую в основе эксплойта Liquid, с помощью запроса из пяти слов.

Как долго Биткоин сможет оставаться безопасным?

Liquid был разработан компанией, в число основателей которой входят одни из первых разработчиков Биткоина и кандидат на роль Сатоши Адам Бэк (Adam Back), и этот инцидент происходит на фоне других недавних уязвимостей, затрагивающих высоконадежную инфраструктуру, связанную с Биткоином, включая уязвимость, использованную для кражи биткоинов на сумму более 100 миллионов долларов в аппаратном кошельке Coldcard.

До сих пор основная блокчейн Биткоина и программное обеспечение Bitcoin Core оставались нетронутыми этой волной эксплойтов, поразивших криптоиндустрию. Но недавние события заставляют некоторых сомневаться, как долго это продлится. Как выразился японский исследователь и педагог Биткоина Кодзи Хигаси (Koji Higashi) в переведенном посте в X: «Сам [основной блокчейн] Биткоина в данный момент не затронут, но если бы даже там была обнаружена серьезная уязвимость, это было бы очень плохо, поэтому эту часть абсолютно необходимо защищать до последнего».

Большей проблемой для Liquid может стать то, что произойдет теперь, когда большая часть биткоинов была возвращена.

Liquid main trust assumption was based on the fact that it ran for 8 years with some unnamed functionaries (on purpose! to not make it a chokepoint).

so, whether the funds for liquid get returned or not, there won’t be a running Liquid anymore, ie: whether the “whitehats” is…

— Nicolas Burtey (@nicolasburtey) September 6, 2026

Операционный директор Cake Wallet по вопросам конфиденциальности Сет (Seth for Privacy) уловил ключевой вопрос, висящий над проектом, в посте в X, спросив: «Я думаю, что невысказанная критическая проблема во всем этом заключается в том… кто будет доверять Liquid свои деньги?»

Основатель и генеральный директор Galoy Николас Бурте (Nicolas Burtey) пошел еще дальше, написав, что независимо от того, вернулись ли средства, «они убили Liquid».

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.