Exploit in Liquid Network sluis bijna 4.000 BTC weg
Het Liquid Network kreeg op 6 september 2026 te maken met een kritieke beveiligingskwetsbaarheid, waardoor een aanvaller ongeveer 4.000 ongedekte LBTC kon creëren. Een kwetsbaarheid in de cache voor range proofs van vertrouwelijke transacties in Elements zorgde ervoor dat een ongeldige transactie de consensuscontroles op alle 15 functionary-nodes van Liquid kon doorstaan.
De aanvaller gebruikte het standaard peg-outproces van SideSwap om ongeveer 3.996 BTC op te nemen. Verdere opnames brachten de reserves van Liquid terug van ongeveer 4.205 BTC naar 197 BTC voordat de bridge-nodes werden stilgelegd. De exploit maakte gebruik van een onvolledige cachesleutel en een latere patch waarin lengteprefixen ontbraken, waardoor doelbewust gecreëerde bytebotsingen mogelijk waren.
Blockstream voerde noodoplossingen door en bracht Elements v23.3.4 uit. Liquid hervatte op 9 september de gecontroleerde blokproductie nadat de ongeldige ketengeschiedenis was verwijderd, hoewel peg-operaties tijdens het herstel opgeschort bleven. De aanvaller gaf na onderhandelingen 3.400 BTC terug, waardoor ongeveer 602 BTC nog openstond.
USDt en DePix werden niet rechtstreeks gecompromitteerd, maar transfers en handel werden tijdelijk verstoord. De online ondertekeningssleutel van SideSwap, geautomatiseerde opnames en het ontbreken van opname-limieten, snelheidscontroles en handmatige beoordeling brachten extra risico’s voor bridges en bewaring aan het licht. Het incident bij het Liquid Network kan de liquiditeit van LBTC, cross-chain-afwikkeling en het marktvertrouwen onder druk blijven zetten.
Bearish
Het incident is bearish voor LBTC omdat het een grote kwetsbaarheid op het gebied van aanbodinflatie blootlegde, de reserves van Liquid uitputte en peg-outoperaties verstoorde. Op korte termijn kunnen handelaren LBTC met een korting waarderen vanwege onzekerheid over aflossingen, verminderde liquiditeit en zorgen over tegenpartijen rond SideSwap en de federatie. De terugkeer van 3.400 BTC, noodpatches en gecontroleerd netwerkherstel kunnen verdere schade beperken, maar ongeveer 602 BTC staat nog uit en peg-operaties waren nog steeds beperkt. Op langere termijn kunnen Elements v23.3.4 en strengere operationele controles het technische risico verminderen. Het vertrouwen in de reserve-dekking van LBTC, de veiligheid van de bridge en cross-chain settlement kan echter tijd nodig hebben om te herstellen, waardoor de risico-rendementsvooruitzichten negatief blijven.