Het Liquid Network draait weer blokken, maar wie denkt dat de storm daarmee is gaan liggen, komt bedrogen uit. Na de diefstal van zo’n 320 miljoen dollar aan Bitcoin heeft de sidechain de blokproductie hervat, terwijl transacties en peg-operaties nog altijd op slot zitten. Het herstel gebeurt met de handrem erop, en dat zegt genoeg over hoe diep deze bug zat.
Kerncijfers
- Onttrokken bedrag: circa 4.000 BTC (ongeveer 320 miljoen dollar)
- Teruggestort: 3.400 BTC (ongeveer 270 miljoen dollar)
- Nog open: circa 598 BTC (ongeveer 46 miljoen dollar)
- Aandeel van de walletbalans: ongeveer 95 procent
Liquid liet op X weten dat de blokproductie is hervat “without transactions”, dus zonder dat er transacties in de blokken worden verwerkt. Het netwerk wordt eerst gemonitord om te “confirm full stabilization”, oftewel om zeker te weten dat alles stabiel blijft voordat de rest weer opengaat. De vereiste updates voor de functionary- en bridge-nodes zijn uitgerold, en de functionary-nodes ondertekenen en valideren blokken weer zoals bedoeld.
Wat is er precies misgegaan
Liquid is een Bitcoin-sidechain van Blockstream die vooral door exchanges en traders wordt gebruikt voor snellere en meer private overboekingen. Je stort er Bitcoin in en krijgt daarvoor L-BTC terug, een token dat een-op-een gedekt zou moeten zijn door echte BTC in een federatiewallet. Precies die dekking kwam in gevaar.
Op 6 september pauzeerde het netwerk nadat partijen die zich als white-hat hackers presenteerden ongeveer 4.000 BTC uit de federatiewallet haalden. Dat was zo’n 95 procent van de circa 4.200 BTC die er in zat. De aanvallers maakten misbruik van een fout in Elements, de open-source software die onder Liquid draait. Het ging om een kwetsbaarheid in de proof-verification cache, waardoor L-BTC kon ontstaan dat niet netjes was gedekt.
Een dag voor de herstart bracht Liquid een noodupdate uit, Elements v23.3.4. Die update verstevigt de cache-keys die worden gebruikt voor range proofs, het onderdeel dat bij de exploit onderuit ging. In gewone taal: het lek dat het probleem veroorzaakte, is dichtgemaakt.
Het grootste deel is terug
Het opvallende aan deze zaak is dat de tegenpartij een flink deel teruggaf. Nadat Blockstream had bevestigd dat de getroffen bridge-nodes waren gepatcht, stortten de actoren 3.400 BTC terug, destijds zo’n 270 miljoen dollar waard. Per 7 september stond er nog ongeveer 598 BTC open, goed voor grofweg 46 miljoen dollar tegen de koersen van dat moment.
| Status | Bitcoin | Waarde (bij benadering) |
|---|---|---|
| Onttrokken | 4.000 BTC | 320 miljoen dollar |
| Teruggestort | 3.400 BTC | 270 miljoen dollar |
| Nog open | 598 BTC | 46 miljoen dollar |
Waarom de peg nog dicht blijft
De peg-operaties, inclusief de PAK-geautoriseerde peg-outs, blijven bewust geblokkeerd zolang Liquid werkt aan het herstel van de BTC/L-BTC-reserve. Dat is logisch: pas als er weer genoeg echte Bitcoin tegenover elke L-BTC staat, kan het in- en uitstappen zonder risico open. Blockstream-topman Adam Back gaf publiekelijk aan dat de dekking van de L-BTC-peg wordt afgedekt, wat houders in elk geval enige rust zou moeten geven.
Voor gebruikers betekent dit dat je voorlopig geen BTC via Liquid het netwerk in of uit krijgt. Voor de bredere Bitcoin-infrastructuur is het een pijnlijke herinnering dat federatiemodellen en de software eromheen net zo goed een zwakke plek kunnen hebben als elk ander stuk code. Dat het grootste deel van het geld terugkwam, verzacht de klap, maar de vraag hoe zo’n bug zo lang onopgemerkt bleef, blijft boven de markt hangen.
