Liquid Network'teki bir açık neredeyse 4.000 BTC'yi boşalttı

Liquid Network, 6 Eylül 2026 tarihinde kritik bir güvenlik istismarına maruz kaldı ve bu durum bir saldırganın yaklaşık 4.000 adet teminatsız LBTC oluşturmasına olanak sağladı. Elements’ın gizli işlemlere ait aralık kanıtı önbelleğindeki bir güvenlik açığı, geçersiz bir işlemin Liquid’in 15 functionary düğümündeki fikir birliği kontrollerini geçmesini sağladı. Saldırgan, yaklaşık 3.996 BTC çekmek için SideSwap’in standart peg-out sürecini kullandı. Köprü düğümleri durdurulmadan önce gerçekleştirilen ek çekimler, Liquid’in rezervlerini yaklaşık 4.205 BTC’den 197 BTC’ye düşürdü. İstismar, eksik bir önbellek anahtarını ve uzunluk ön eklerini atlayan sonraki bir yamayı içeriyordu; bu da özel olarak oluşturulmuş bayt çakışmalarına izin verdi. Blockstream acil düzeltmeleri devreye aldı ve Elements v23.3.4’ü yayımladı. Liquid, geçersiz zincir geçmişini kaldırdıktan sonra 9 Eylül’de kontrollü blok üretimine yeniden başladı; ancak peg işlemleri kurtarma süreci boyunca askıda kaldı. Saldırgan müzakerelerin ardından 3.400 BTC’yi iade etti ve yaklaşık 602 BTC hâlâ ödenmemiş durumda kaldı. USDt ve DePix doğrudan ele geçirilmedi, ancak transferler ve alım satım geçici olarak aksadı. SideSwap’in çevrim içi imzalama anahtarı, otomatik çekimler ve çekim limitleri, işlem hızı kontrolleri ile manuel incelemenin bulunmaması, köprüler ve saklama hizmetleri açısından ek riskleri ortaya çıkardı. Liquid Network olayı, LBTC likiditesi, zincirler arası mutabakat ve piyasa güveni üzerinde baskı oluşturmaya devam edebilir.