Eksploit di Liquid Network menguras hampir 4.000 BTC

Liquid Network mengalami eksploit keamanan kritis pada 6 September 2026, yang memungkinkan penyerang membuat sekitar 4.000 LBTC tanpa dukungan aset. Kerentanan pada cache range-proof transaksi rahasia di Elements memungkinkan transaksi tidak valid lolos dari pemeriksaan konsensus pada 15 node functionary Liquid. Penyerang menggunakan proses peg-out standar SideSwap untuk menarik sekitar 3.996 BTC. Penarikan lanjutan mengurangi cadangan Liquid dari sekitar 4.205 BTC menjadi 197 BTC sebelum node bridge dihentikan. Eksploitasi tersebut melibatkan kunci cache yang tidak lengkap dan patch berikutnya yang menghilangkan prefiks panjang, sehingga memungkinkan terjadinya tabrakan byte yang dibuat secara khusus. Blockstream menerapkan perbaikan darurat dan merilis Elements v23.3.4. Liquid melanjutkan produksi blok secara terkendali pada 9 September setelah riwayat rantai yang tidak valid dihapus, meskipun operasi peg tetap ditangguhkan selama pemulihan. Penyerang mengembalikan 3.400 BTC setelah negosiasi, sehingga sekitar 602 BTC masih belum dikembalikan. USDt dan DePix tidak dikompromikan secara langsung, tetapi transfer dan perdagangan sempat terganggu. Kunci penandatanganan online SideSwap, penarikan otomatis, serta tidak adanya batas penarikan, kontrol frekuensi, dan pemeriksaan manual menyingkap risiko tambahan pada bridge dan kustodi. Insiden Liquid Network dapat terus menekan likuiditas LBTC, penyelesaian lintas rantai, dan kepercayaan pasar.