„Liquid“-Hacker geben 3.400 BTC zurück, behalten 47 Millionen Dollar, während das Netzwerk weiterhin gesperrt bleibt

Die Rückgabe markiert eine bedeutende Wende in einem Vorfall, der am Sonntag, dem 6. September, begann, als rund 4.000 BTC – damals im Wert von etwa 320 Millionen US-Dollar – aus der Wallet der Liquid Federation verschwanden, die als Deckung für L-BTC diente. Das entsprach etwa 95 % der Reserve, sodass nur noch etwa 197 BTC übrig blieben.

3.400 BTC kehren zurück, aber 598,5 BTC bleiben zurück

Nachdem Blockstream den Akteuren mitgeteilt hatte, dass die Bridge-Knoten gepatcht worden seien und die Gelder „sicher zurückgegeben werden könnten“, sendeten diese eine Transaktion, mit der 3.400 BTC an die Adresse der Federation überwiesen wurden. Die Adresse der Akteure behielt 598,49955894 BTC ein, und nichts in den On-Chain-Meldungen wies darauf hin, dass dieser Restbetrag von etwa 15 % eine vereinbarte Prämie darstellte.

Interessanterweise handelte es sich hierbei nicht um einen klassischen Fall, bei dem Hacker private Schlüssel gestohlen und eine Wallet leergeräumt hätten. Liquid erklärte, dass keine Föderationsschlüssel kompromittiert worden seien, während Sideswap angab, dass seine Systeme nicht angegriffen worden seien. Stattdessen ließ sich das Problem auf „Elements“ zurückführen, den von Liquid-Knoten verwendeten Bitcoin-Core-Fork.

Elements-Fehler öffnete die Tür für ungedeckte L-BTC

Unabhängige technische Rekonstruktionen deuten auf einen Fehler im Range-Proof-Verifizierungscache hin, der es den Tätern offenbar ermöglichte, L-BTC zu erstellen, ohne dass die dafür normalerweise erforderlichen Bitcoins als Deckung vorhanden waren. Für Laien ausgedrückt: Das System akzeptierte Bitcoin-ähnliche Token, die niemals hätten existieren dürfen, und diese Token wurden später gegen echte Bitcoins aus den Reserven von Liquid eingetauscht.

Die Täter führten zunächst einen Testlauf mit 2,5 BTC durch, bevor um 14:05 Uhr UTC rund 4.000 L-BTC den „Peg-out“-Dienst von Sideswap erreichten. Sideswap verarbeitete die Anfrage wie gewohnt, vernichtete die L-BTC und forderte die Zahlung an, woraufhin die Föderation von Liquid um 14:28 Uhr UTC 3.996 BTC an den Bestimmungsort überwies.

Von dieser Unterscheidung hängt viel ab. Die Signierer der Liquid-Föderation verhielten sich wie vorgesehen, als ihnen eine gültige Auszahlungsanforderung vorgelegt wurde. Der Fehler trat bereits zuvor auf, als nicht gedeckte L-BTC in das System gelangten, was bedeutet, dass der Vorfall auf die Ausgabe und nicht auf kompromittierte Verwahrschlüssel zurückzuführen war.

Blockstream und die Akteure verhandeln über Bitcoin

Was folgte, war alles andere als eine normale Sicherheitsmeldung. Die Akteure kommunizierten öffentlich über Bitcoin-OP_RETURN-Nachrichten und erklärten zunächst: „Wir sind Whitehats. Kontaktiert uns auf der Blockchain.“ Blockstream antwortete schließlich mit PGP-signierten Nachrichten, und die Akteure sagten, sie würden die Gelder zurückgeben, sobald das Netzwerk gepatcht sei.

Gleichzeitig bleibt die Einstufung als „White-Hats“ umstritten. Charles Guillemet, CTO von Ledger, stellte den Ansatz „Erst nehmen, dann verhandeln“ in Frage, räumte jedoch später ein, dass es sich bei den Akteuren um unerfahrene Forscher handeln könnte. Liquid selbst bezeichnete sie vorsichtig als „angebliche White-Hat-Hacker“.

Liquid bleibt eingefroren, während die Betreiber vor der nächsten Bewährungsprobe stehen

Die Rückgabe von 3.400 BTC entlastet das Reserveproblem erheblich, doch Liquid ist noch nicht über den Berg. Das Netzwerk bleibt weiterhin pausiert, Bridge-Knoten sind deaktiviert und Ein- und Auszahlungen von L-BTC an zentralisierten Börsen sind weiterhin ausgesetzt. Andere von Liquid ausgegebene Vermögenswerte, darunter USDT, Depix und Real-World-Assets (RWAs), blieben unberührt.

Das Bitcoin-Hauptnetz blieb hingegen unbeeinträchtigt, und Liquid-Wallets wie Aqua sind lediglich in ihrer Liquid-Funktionalität beeinträchtigt. Etwa 598,5 BTC befinden sich weiterhin unter der Kontrolle der Akteure, ohne dass eine Vereinbarung veröffentlicht wurde, aus der hervorgeht, ob diese Gelder letztendlich zurückgegeben werden.

Ein Neustart könnte in Aussicht stehen, sobald die Betreiber nachweisen können, dass legitimes L-BTC wieder im Verhältnis 1:1 gedeckt ist, eine gepatchte Version von Elements im Netzwerk verteilen und entscheiden, dass die Wiedereröffnung der Brücke sicher ist. Bis diese Schritte abgeschlossen sind, hat sich der Staub nach einer der größten technischen Krisen von Liquid noch kaum gelegt.