Liquid Network کے ایک ایکسپلوئٹ نے تقریباً 4,000 BTC نکال لیے

Liquid Network کو 6 ستمبر 2026 کو ایک سنگین سکیورٹی ایکسپلائٹ کا سامنا کرنا پڑا، جس کے ذریعے حملہ آور تقریباً 4,000 غیر پشت پناہی والے LBTC تخلیق کرنے میں کامیاب ہوا۔ Elements کے confidential-transaction range-proof cache میں موجود خامی کے باعث ایک غیر معتبر ٹرانزیکشن Liquid کے 15 functionary nodes پر consensus checks سے گزر گئی۔ حملہ آور نے SideSwap کے معیاری peg-out عمل کو استعمال کرتے ہوئے تقریباً 3,996 BTC نکلوائے۔ مزید withdrawals کے بعد Liquid کے reserves تقریباً 4,205 BTC سے کم ہو کر 197 BTC رہ گئے، جس کے بعد bridge nodes روک دیے گئے۔ اس ایکسپلائٹ میں ایک نامکمل cache key اور بعد میں جاری کیا گیا ایسا patch شامل تھا جس میں length prefixes موجود نہیں تھے، جس سے تیار کردہ byte collisions ممکن ہوئیں۔ Blockstream نے ہنگامی fixes نافذ کیے اور Elements v23.3.4 جاری کیا۔ غیر معتبر chain history ہٹانے کے بعد Liquid نے 9 ستمبر کو controlled block production دوبارہ شروع کی، تاہم recovery کے دوران peg operations معطل رہیں۔ مذاکرات کے بعد حملہ آور نے 3,400 BTC واپس کیے، جس کے بعد تقریباً 602 BTC باقی رہ گئے۔ USDt اور DePix براہِ راست compromised نہیں ہوئے، لیکن transfers اور trading عارضی طور پر متاثر ہوئے۔ SideSwap کی online signing key، automated withdrawals، اور withdrawal limits، velocity controls اور manual review کی عدم موجودگی نے bridge اور custody سے متعلق اضافی خطرات کو نمایاں کیا۔ Liquid Network کا یہ واقعہ LBTC liquidity، cross-chain settlement اور market confidence پر مزید دباؤ ڈال سکتا ہے۔