Pada 6 September 2026, sebanyak kira-kira 4,000 BTC keluar dari dompet federasi Jaringan Liquid melalui satu kelemahan yang, pada permukaannya, kelihatan seperti transaksi biasa yang sempurna. Tiada alarm, tiada kunci rosak, tiada penyusupan yang jelas. Hanya satu peg-out yang diproses oleh SideSwap yang secara senyap mengosongkan jumlah yang pada masa itu bernilai sekitar $320 juta.
Pada hari berikutnya, 3,400 Bitcoin tersebut telah kembali. Sekitar 598.5 BTC, bernilai sekitar $47 juta, belum kembali.
Apa yang sebenarnya berlaku
Cacat tersebut berada di dalam Elements, perisian sumber terbuka yang menjadi asas Liquid dan yang sendirinya berasal dari Bitcoin Core. Kerentanan ini membolehkan seseorang menghasilkan token L-BTC yang tidak disokong, pada dasarnya mencetak klaim terhadap bitcoin yang tidak mempunyai jaminan sebenar di belakangnya. Secara kritikal, tiada satu pun kunci peribadi federasi yang disentuh, dan infrastruktur SideSwap tidak menunjukkan tanda-tanda telah diserang. Penarikan tersebut bergerak melalui saluran autorisasi biasa, yang tepatlah yang menjadikannya sukar ditangkap secara masa nyata.
Pelaku yang melaksanakan penarikan tersebut kemudian mengenalkan diri sebagai peretas topi putih. Mereka memilih kaedah komunikasi yang sesuai dengan merek: medan OP_RETURN Bitcoin, komponen transaksi Bitcoin yang membawa data biasa digunakan untuk mesej kecil, digabungkan dengan teks terenkripsi PGP.
Blockstream mengesahkan bahawa mereka membaiki nod jambatan yang terkesan pada 7 September. Segera selepas pengesahan itu, 3,400 BTC kembali ke alamat federasi. 598.5 BTC yang tinggal tetap di tempatnya, dengan perbincangan digambarkan sebagai berterusan.
Bounty atau ekstorsi
Soalan yang menggantung di atas pemulihan bukanlah hal yang halus. Mengembalikan 85% daripada rampasan sambil mengekalkan $47 juta dalam keadaan tertunda sehingga perbincangan lanjut berada di kawasan kabur.
Charles Guillemet, CTO di Ledger, secara awam menandakan ketegangan antara framing putih-hat para pelaku dan ukuran apa yang mereka kekal.
Untuk sementara, Rangkaian Cecair tetap dihentikan. Bursa-bursa yang menyokong L-BTC telah diperintahkan untuk menghentikan kedua-dua deposit dan penarikan, meninggalkan pengguna yang memegang aset sidechain dalam keadaan tertunda tanpa garis masa yang jelas untuk pemulihan.
Mengapa arsitektur Liquid memungkinkan ini
Liquid ialah sidechain bersekutu, bermaksud model keselamatannya bergantung pada konsorsium fungionari berbanding set penesah terdesentralisasi. Aset bergerak antara rantai utama Bitcoin dan Liquid melalui pasangan dua arah: deposit BTC, terima L-BTC di sidechain; tebus L-BTC, terima BTC semula di rantai utama. Federasi secara kolektif mengawal kunci yang mengesahkan tebusan tersebut.
Insiden 6 September menunjukkan bahawa logik kuasa mekanisme peg adalah rentan pada peringkat perisian, walaupun kunci kriptografi itu sendiri kekal utuh.
Blockstream tidak mengungkapkan sifat tepat kerentanan Elements. Nod jambatan telah dipatch, menurut pernyataan Blockstream, tetapi sidechain belum melanjutkan operasinya.