En hackare har just uppmanat en Bitcoin-sidokedja att åtgärda sitt eget fel innan han återlämnar pengarna

Någon gång efter kl. 14.00 UTC den 6 september 2026 tog någon i tysthet ut 3 996 BTC från Blockstreams federationsplånbok i Liquid Network. Vid den tidpunkten motsvarade det ungefär 320 miljoner dollar. Plånboken innehöll cirka 4 200 BTC före transaktionen. Efteråt innehöll den omkring 207. Nittiofem procent av den reserv som stod bakom Liquids L-BTC-token var helt enkelt borta, i en enda överföring, och ingen hos Blockstream hade förutsett detta.

Liquid bekräftade händelsen på X inom några timmar: Blockstream uppgav att man var medveten om en säkerhetsincident och arbetade med att kontakta parterna på kedjan med ett signerat meddelande, där uttaget beskrevs som ett verk av ”påstådda white-hat-hackare”. Nätverket stoppade nya transaktioner, inaktiverade sina bryggnoder och bad börserna att frysa insättningar och uttag av L-BTC medan man utredde vad som hade hänt. ”Liquid-plånböcker kommer att påverkas, och vi ber om ursäkt för eventuella besvär”, stod det i inlägget – vilket är en märklig sak att skriva efter att ha förlorat nio siffror i Bitcoin under en helg.

Det som gör just detta fall ovanligt är inte storleken på förlusten, även om 320 miljoner dollar placerar den nära toppen av årets lista över hackerattacker. Det är vad som inte hände. Inga privata nycklar stals. Ingen medlem i federationen blev utsatt för nätfiske. Liquid sa tydligt att den SideSwap Peg-out-auktoriseringsnyckel som användes för att flytta medlen ”inte komprometterades, och inte heller några andra”. SideSwap bekräftade detta och uppgav att transaktionen genomfördes som en vanlig kundorder, fullständigt signerad och auktoriserad, och att det inte fanns något sätt för deras system att upptäcka att den bakomliggande L-BTC:n inte borde ha existerat.

Det är det som är den egentliga buggen. Någon upptäckte en brist i Elements, den öppen källkodsprogramvara som ligger till grund för Liquid, som gjorde det möjligt att skapa L-BTC som inte backades upp av någon riktig Bitcoin. On-chain-analytikern mononaut uppskattade att efter uttaget backades varje LBTC i omlopp upp av endast cirka 4,7% av en faktisk bitcoin. Bitcoin Core-bidragaren Antoine Poinsot, som går under namnet darosior, märkte att något annat inte stämde: ett Liquid-block som Blockstreams egen explorer accepterade syntes inte alls på mempool.space, en liten teknisk detalj som antydde hur djupt in i konsensuslogiken bristen sträckte sig. Forskarna spårade så småningom felet till hur Liquids konfidentiella transaktioner valideras och cachelagras – ett inflationsfel, inte en historia om stulna nycklar.

Sedan kom den del som gör detta till en av de märkligaste dödlägena i kryptosäkerhetens historia. Den eller de personer som innehade medlen började skicka meddelanden tillbaka till Blockstream inbäddade direkt i Bitcoin-transaktioner, vissa via OP_RETURN, andra enligt uppgift PGP-krypterade. Ett av dem löd, ungefär: åtgärda felet först, bekräfta att varje nod är uppdaterad, och först då kommer pengarna att överföras tillbaka. Blockstream, under ledning av Adam Back, svarade på samma sätt. Enligt rapporter från The Block skickade företaget sitt eget signerade meddelande så snart korrigeringen var live: ”Bridge-noderna är uppdaterade, det är säkert att återlämna medlen.” Vid skrivande stund låg bitcoinen fortfarande kvar i angriparens plånbok.

Galaxy Digitals forskningschef, Alex Thorn, sa att hackarna hade gått ett steg längre och skickat krypterade tekniska rapporter till Blockstream för att hjälpa till att kartlägga sårbarheten. Om det stämmer är det en verkligt märklig incitamentsstruktur: en exploatering värd 320 miljoner dollar som hittills fungerat som en obetald och ganska aggressiv buggbounty. Om det förblir så är den enda frågan som spelar någon roll just nu, och ingen utanför plånbokens ägare vet egentligen svaret. Varje stort ”white-hat”-påstående i denna bransch sätts på prov i samma ögonblick som tidsfristen för att återlämna medlen faktiskt löper ut.

För alla andra är den omedelbara skadan mer vardaglig. Liquids övriga tillgångar, däribland USDT, DePix och olika tokeniserade tillgångar från den verkliga världen i nätverket, var enligt uppgift opåverkade, eftersom felet var specifikt för L-BTC:s hantering av konfidentiella transaktioner snarare än sidokedjan som helhet. Men federationen stängde ändå ner hela nätverket, och börser som hanterar avräkningar via Liquid har tvingats pausa LBTC-aktiviteten medan uppdateringar rullas ut till federationens nodoperatörer. Liquid har varit i drift sedan 2018 som en federerad Bitcoin-sidokedja som övervakas av mer än 80 börser och infrastrukturföretag, och detta är den typ av händelse som tenderar att åberopas i varje framtida argumentation för eller emot federerade bryggkonstruktioner.

Det finns också ett bredare mönster här som är lätt att förlora ur sikte när man fokuserar på detaljerna i en enskild incident. Enbart denna säkerhetslucka fick veckans totala kryptovalutahack att överstiga 320 miljoner dollar, och andra, mindre förluster – däribland en säkerhetslucka i ett deponeringskonto på Notional Finance på cirka 1,7 miljoner dollar som flaggades separat av säkerhetsövervakare – bidrog till den siffran. Sidokedjor och bryggor fortsätter att vara den plats där pengarna försvinner, inte för att Bitcoins baslager är svagt, utan för att allt som byggs intill det ärver de buggar som finns i dess egen programvara.

Blockstream har inte sagt när Liquid kommer att återupptas fullt ut, och man har inte bekräftat angriparens identitet eller om ”white hat” är rätt benämning för någon som tog nästan hela nätverkets reserv innan han gick med på att förhandla. För tillfället handlar historien om en Bitcoin-sidokedja som väntar på ett löfte, skrivet i blockkedjemeddelanden, från samma person som just bevisat att löftet var nödvändigt från första början.