Een van de oudste Bitcoin-sidechains ligt stil. Blockstream heeft het Liquid Network op zondag 6 september op pauze gezet nadat partijen die zichzelf ‘white hats’ noemen ongeveer 4.000 BTC, goed voor zo’n 320 miljoen dollar, uit de federatie-portefeuille wisten te halen. Dat is bijna de volledige reserve die achter de gebruikte L-BTC staat, en het legt een pijnlijk lek bloot in software die jarenlang als degelijk gold.
Kerncijfers
- Onttrokken bedrag: ~4.000 BTC (circa 320 miljoen dollar)
- Aandeel van de reserve: ongeveer 95% van ~4.200 BTC
- Datum incident: 6 september 2026
- Status netwerk: gepauzeerd tot patch is uitgerold
Voor wie Liquid niet dagelijks gebruikt: het is een zogeheten sidechain naast de gewone Bitcoin-blockchain. Je stort er bitcoin in en krijgt L-BTC terug, een een-op-een gedekte variant waarmee je sneller en met meer privacy tussen exchanges en handelaren kunt schuiven. Achter die L-BTC zit een federatie van bedrijven die samen de echte bitcoin bewaren. Precies die pot is nu bijna leeggehaald.
Hoe het misging
Het probleem zit niet in een gestolen sleutel, maar in de code. Blockstream ontwikkelt Elements, de open-source software waarop Liquid draait, en daar bleek een bug in te zitten. Onafhankelijke analyse van de betwiste blokken wijst op een fout in de rangeproof-cache bij vertrouwelijke transacties: een cachesleutel die de asset- en scriptcontext oversloeg, waardoor een eerder goedgekeurd bewijs opnieuw gebruikt kon worden. Het gevolg was ongedekte L-BTC die een deel van de nodes toch accepteerde.
Die valse L-BTC belandde vervolgens bij een gewone uitstapdienst. SideSwap, de peg-out-service van Blockstream, verwerkte de order alsof het een doodnormale klant was. “Today at 14:05 UTC, a customer sent 4,000 L-BTC to the SideSwap peg-out service,” schreef SideSwap op X, met de nadruk dat de eigen Peg-out Authorization Key niet gecompromitteerd was. De bitcoin die eruit kwam was echter wel echt, en dat is het probleem.
Netwerk plat, exchanges op slot
Blockstream trok direct de stekker eruit. Bridge-nodes werden uitgeschakeld zodat er geen nieuwe transacties meer binnenkomen. “Effectively, the Liquid sidechain is paused until this issue is resolved,” liet het team via X weten. Exchanges kregen de opdracht om stortingen en opnames van L-BTC per direct te bevriezen, zonder tijdlijn voor wanneer dat weer opengaat. De gewone Bitcoin-blockchain draaide gewoon door, en andere activa op Liquid zoals USDT, DePix en getokeniseerde real-world assets bleven volgens het team onaangeroerd.
White hats of niet
De daders lieten via een OP_RETURN-bericht in een transactie weten: “we are whitehats. contact us on chain.” Ze stuurden een klein bedrag terug naar de federatie-portefeuille als teken van goede wil en beloofden het grootste deel van de 4.000 BTC te retourneren zodra de kwetsbaarheid netwerkbreed gepatcht is en alle nodes zijn bijgewerkt. Volgens Alex Thorn, hoofd research bij Galaxy Digital, stuurden ze ook versleutelde technische details naar Blockstream. Op het moment van schrijven waren de fondsen nog niet terug.
Iedereen slikt het white-hatverhaal niet zomaar. Ledger-CTO Charles Guillemet zette vraagtekens bij de motieven, onder meer omdat de partij vroeg om contact via Signal, geen gebruikelijke gang van zaken voor nette beveiligingsonderzoekers. Blockstream zelf reageerde via een on-chain OP_RETURN-bericht en verwees de partij naar het beveiligingsadres security@blockstream.com. Dat een aanvaller vrijwillig honderden miljoenen teruggeeft, is bepaald geen garantie.
De schade reikt verder dan Blockstream alleen. Samson Mow van JAN3 bevestigde dat de Liquid-functionaliteit in de Aqua Wallet geraakt is, al blijven gewone Bitcoin-transacties via die wallet werken. Voor de federatie draait alles nu om snelheid: pas als de Elements-bug is gedicht en elke node is bijgewerkt, kan Liquid weer aan, en pas dan blijkt of de zogenaamde white hats hun belofte nakomen. Het is een ontwikkelend verhaal dat nog volop in beweging is.
