Коротко: 7 сентября 2026 года стало известно, что атакующие вывели около 4000 BTC — примерно $320 млн — из кошелька федерации, который обеспечивает Liquid, сайдчейн биткоина от Blockstream. Это около 95% резерва, составлявшего примерно 4200 BTC. Приватные ключи никто не крал: ошибка в программном обеспечении Elements позволила создать ничем не обеспеченные L-BTC и погасить их за настоящие биткоины. Группа, назвавшая себя «белыми хакерами», вернула около 3400 BTC после исправления ошибки; примерно 598 BTC до сих пор не возвращены.
Что произошло в сети Liquid?
По хронологии аналитической компании TRM Labs, сама атака заняла 36 минут в воскресенье, 6 сентября (UTC):
- 13:53 UTC — в Liquid появляется около 4000 L-BTC без заблокированных под них биткоинов.
- 14:06 UTC — через SideSwap, сервис с правом проводить выводы, подаётся заявка на вывод (peg-out).
- 14:28 UTC — федерация выплачивает около 4000 BTC в сети биткоина; на адрес атакующих приходит примерно 3996 BTC.
К 7 сентября инцидент стал публичным. Получатели оставили в биткоин-транзакциях сообщения, назвав себя «белыми хакерами», и потребовали от Blockstream исправить ошибку и обновить все узлы, прежде чем деньги вернутся. Liquid остановил новые транзакции, отключил узлы моста и попросил биржи приостановить ввод и вывод L-BTC, сообщило The Register. Сам биткоин затронут не был.
После того как Blockstream развернул исправленный софт, 7 сентября федерации вернули около 3400 BTC — по данным The Hacker News и TRM Labs. Оставшиеся 598,5 BTC, около $47 млн, остались у атакующих. 10 сентября Liquid возобновил производство блоков и транзакции, но выводы в биткоин оставались отключены, писал The Block. Когда атакующие затем потребовали 10% в качестве «баг-баунти», Blockstream отказался, назвал удержание средств кражей и заявил, что подключит правоохранительные органы.
| Ключевой факт | Значение |
|---|---|
| Резерв Liquid до атаки | ~4200 BTC |
| Выведено атакующими | ~4000 BTC (~$320 млн), около 95% резерва |
| От выпуска до выплаты | 36 минут (6 сентября, UTC) |
| Возвращено после патча | ~3400 BTC (7 сентября) |
| Не возвращено | 598,5 BTC (~$47 млн) |
| Обеспеченность L-BTC после возврата | ~86% (оценка TRM Labs) |
| Порог подписи федерации | 11 из 15 |
Как сработал эксплойт?
Liquid поддерживает конфиденциальные транзакции: суммы скрыты за криптографическими доказательствами диапазона (range proofs). Чтобы экономить ресурсы, Elements кэширует результаты их проверки. TRM Labs описывает уязвимость именно в этом кэше: разослав десятки транзакций с совпадающими данными доказательств, атакующие добились того, что некорректный выход был принят как уже проверенный. Сеть признала L-BTC, за которыми не стояло ни одного биткоина.
Дальше федерация действовала ровно так, как задумано. Её участники подписывают выводы мультиподписью 11 из 15 — они увидели корректную на вид заявку от авторизованного сервиса и выпустили настоящие BTC. Ключи скомпрометированы не были. Слабым местом оказался код, который сообщает подписантам, что считать валидным.
Что такое Liquid, L-BTC и федеративный пег?
Liquid — сайдчейн, то есть отдельный блокчейн, работающий параллельно с биткоином: блоки быстрее, суммы скрыты. Им пользуются в основном биржи и трейдинговые компании, чтобы перебрасывать BTC между площадками. По данным CoinDesk, в сети участвуют более 80 бирж, инфраструктурных компаний и управляющих активами.
Чтобы войти, делается peg-in: вы отправляете BTC на адрес под контролем федерации и получаете столько же L-BTC в Liquid. Чтобы выйти — peg-out: L-BTC уничтожаются, а федерация отправляет BTC обратно. Обещание «1 L-BTC = 1 BTC» держится на ключах федерации и на корректности кода Liquid. Нативный биткоин зависит только от правил консенсуса самого биткоина.
После частичного возврата TRM Labs оценила резерв примерно в 3597 BTC против около 4200 L-BTC в обращении — обеспеченность около 86%. Пока выводы приостановлены, держатели не могут обменять L-BTC обратно на BTC через пег.
Нативный BTC против сайдчейн- и обёрнутого BTC
| Нативный BTC | Федеративный сайдчейн (L-BTC) | Кастодиальный или мостовой обёрнутый BTC | |
|---|---|---|---|
| Чем обеспечен | Не требуется — это и есть биткоин | BTC на мультиподписи федерации | BTC у кастодиана или в контракте моста |
| Основные сценарии сбоя | Потеря собственных ключей | Ошибки в софте, компрометация ключей федерации | Сбой кастодиана, взлом моста, баги смарт-контрактов |
| Можно ли заморозить погашение? | Нет | Да — как и произошло | Да — кастодианом или мостом |
| Типичное применение | Сбережения, холодное хранение, окончательные расчёты | Быстрые переводы между площадками | Использование BTC в DeFi других сетей |
Практический чек-лист для тех, кто отправляет, меняет или хранит BTC
- Держите L-BTC — ждите официальных заявлений. Не делайте новых peg-in, пока Blockstream и федерация Liquid не подтвердят, что пег полностью работает. Опирайтесь только на официальные каналы: такие инциденты притягивают фальшивые сайты «компенсаций» и «возвратов».
- Смотрите на сеть, а не только на тикер. Обменник может предлагать BTC в сети биткоина, BTC через Lightning, L-BTC в Liquid и обёрнутый BTC в других сетях. Это разные активы с разными рисками — выбирайте тот, который действительно хотите получить.
- Обёрнутый BTC — для транзита, не для хранения. Для долгого хранения переводите средства в нативный биткоин на своём кошельке. Для быстрых небольших платежей без выхода из модели доверия биткоина есть Lightning — см. Lightning или ончейн-биткоин.
- Сверяйте резервы с объёмом в обращении. Резерв федерации Liquid публикуется открыто — только поэтому и удалось измерить вывод 95% средств и обеспеченность около 86% после возврата. Прежде чем держать любой обёрнутый BTC, найдите опубликованную цифру резерва и сравните её с количеством токенов в обращении. Если такой цифры нет, вы доверяете вслепую. Способы обмена, при которых расписка вообще не возникает, сравниваются в статье атомарные свопы против кроссчейн-мостов.
- Не рассчитывайте на выход 1:1. Когда погашение приостановлено, обёрнутый токен может торговаться дешевле базового актива. Держите в таких активах столько, чтобы пауза не заблокировала нужные вам деньги.
- Сравнивайте, где меняете. Сервисы различаются набором поддерживаемых сетей BTC и скоростью реакции на инциденты. Проверьте варианты в списке обменников до отправки.
Частые вопросы
Взломали ли сам биткоин?
Нет. Ошибка была в Elements — программном обеспечении сайдчейна Liquid. Сеть и правила биткоина не пострадали: атакующие использовали уязвимость в Liquid, чтобы погасить необеспеченные L-BTC за настоящие BTC.
Сколько биткоинов вывели из Liquid и сколько вернули?
6 сентября 2026 года вывели около 4000 BTC, примерно $320 млн. 7 сентября, после исправления ошибки, вернули около 3400 BTC; не возвращены 598,5 BTC — около $47 млн.
Обеспечен ли L-BTC один к одному?
Пока недостающие монеты не возвращены — не полностью. TRM Labs оценила резерв примерно в 3597 BTC против около 4200 L-BTC, то есть около 86%, а выводы оставались приостановлены и после перезапуска транзакций 10 сентября.
Опасен ли обёрнутый или сайдчейн-биткоин?
У него есть риски, которых нет у нативного BTC: ошибки в софте, сбой кастодиана или федерации, остановка погашения. Для быстрого перемещения средств он бывает полезен, но для хранения надёжнее нативный биткоин на собственном кошельке.
Источники
- CoinDesk: $320 million bitcoin exploit hits Liquid Network. Hacker makes conditional offer
- The Register: Hackers drain $320M in Bitcoin from Liquid Network, claim they're the good guys
- TRM Labs: 2026's Biggest Hack To Date: Attackers Drained USD 319 Million in Bitcoin From Liquid Network
- The Hacker News: Liquid Hackers Return 3,400 Bitcoin Taken via Elements Bug
- The Block: Blockstream refuses ransom demand for remaining 600 BTC from Liquid exploit