26 Eylül 2026 tarihinde, yaklaşık 4.000 BTC, yüzeyde tamamen normal bir işlem gibi görünen bir zafiyet yoluyla Liquid Network’ün federasyon cüzdanından ayrıldı. Alarm yok, anahtarlar bozulmadı, açık bir girişi gösteren hiçbir işaret yoktu. Sadece SideSwap tarafından işlenen bir peg-out, o zamanlar yaklaşık 320 milyon dolar değerinde olan miktarı sessizce boşalttı.
İlerleyen gün içinde, bu Bitcoin'lerin 3.400 tanesi geri döndü. Yaklaşık 598,5 BTC, yaklaşık 47 milyon dolar değerinde, geri dönmedi.
Ne oldu gerçekten
Hata, Liquid'in çalıştığı ve Bitcoin Core'dan türeyen açık kaynak yazılım olan Elements'in içinde yaşıyordu. Bu zafiyet, gerçek bir teminatı olmayan L-BTC tokenleri üretmeyi mümkün kılıyordu, yani bitcoin üzerine teminatsız talepler oluşturuyordu. Kritik olarak, federasyonun özel anahtarlarından hiçbirine dokunulmamıştı ve SideSwap'ın altyapısında herhangi bir ihlal belirtisi görülmemişti. Çekim, standart yetkilendirme kanalları aracılığıyla gerçekleşti, bu da onu gerçek zamanlı olarak tespit etmeyi çok zor hale getirdi.
Sızıntıyı gerçekleştiren aktörler, kendilerini beyaz şapkalı hackerlar olarak tanıttı. Uygun bir marka iletişim yöntemi seçtiler: Bitcoin işlemlerinde genellikle küçük mesajlar için kullanılan, veri taşıyan bir bileşen olan Bitcoin’in OP_RETURN alanı ve PGP şifreli metin.
Blockstream, 7 Eylül'de etkilenen köprü node'larını düzelttiğini onayladı. Bu onayın hemen ardından, 3.400 BTC federasyon adresine geri döndü. Kalan 598,5 BTC yerinde kaldı ve müzakerelerin devam ettiği belirtildi.
Kazanç veya zorlama
Kurtarma üzerine asılı kalan soru belirsiz değildir. 85%lik bir tutarı geri verirken 47 milyon doları daha fazla görüşmeler için bekletmek belirsiz bir alanda kalır.
Ledger'in CTO'su Charles Guillemet, aktörlerin beyaz şapka çerçevesi ile tuttukları miktar arasındaki gerilimi kamuoyuna duyurdu.
Şu anda Liquid Network durdurulmuştur. L-BTC'yi destekleyen borsalara, hem yatırma hem de çekim işlemlerini durdurma talimatı verilmiştir. Bu durum, yan zincir varlığına sahip kullanıcıları, yeniden başlatma için net bir zaman çizelgesi olmadan beklemeye zorlamaktadır.
Neden Likidin mimarisi bunu mümkün kıldı
Liquid, bir federasyon yan zinciridir ve güvenlik modeli, dağıtılmış bir doğrulayıcı kümesi yerine bir fonksiyoner konsorsiyumu üzerine kuruludur. Varlıklar, Bitcoin'in ana zinciri ile Liquid arasında iki yönlü bir bağlantı aracılığıyla taşınır: BTC yatırın, yan zincirde L-BTC alın; L-BTC'yi geri çekin, ana zincirde BTC alın. Federasyon, bu geri çekmeleri yetkilendiren anahtarları kolektif olarak kontrol eder.
6 Eylül olayı, kriptografik anahtarların kendileri bütünlüğünü korurken, takip mekanizmasının yetkilendirme mantığının yazılım düzeyinde zayıf olduğunu gösterdi.
Blockstream, Elements zafiyetinin tam doğasını açıklamadı. Köprü node'ları Blockstream'in açıklamasına göre düzeltilmiş olsa da, yan zincir faaliyetlerine devam etmemiştir.