Lỗ hổng khai thác trên Liquid Network làm thất thoát gần 4.000 BTC

Mạng Liquid đã hứng chịu một vụ khai thác bảo mật nghiêm trọng vào ngày 6 tháng 9 năm 2026, cho phép kẻ tấn công tạo ra khoảng 4.000 LBTC không có tài sản bảo chứng. Một lỗ hổng trong bộ nhớ đệm bằng chứng phạm vi của các giao dịch bảo mật trong Elements đã cho phép một giao dịch không hợp lệ vượt qua các kiểm tra đồng thuận trên 15 nút functionary của Liquid. Kẻ tấn công đã sử dụng quy trình peg-out tiêu chuẩn của SideSwap để rút khoảng 3.996 BTC. Các lần rút tiếp theo đã làm giảm dự trữ của Liquid từ khoảng 4.205 BTC xuống còn 197 BTC trước khi các nút cầu nối bị dừng. Vụ khai thác liên quan đến một khóa bộ nhớ đệm không đầy đủ và một bản vá sau đó đã bỏ qua các tiền tố độ dài, cho phép tạo ra các va chạm byte có chủ đích. Blockstream đã triển khai các bản sửa lỗi khẩn cấp và phát hành Elements v23.3.4. Liquid nối lại hoạt động tạo khối có kiểm soát vào ngày 9 tháng 9 sau khi loại bỏ lịch sử chuỗi không hợp lệ, mặc dù các hoạt động peg vẫn bị đình chỉ trong quá trình khôi phục. Kẻ tấn công đã trả lại 3.400 BTC sau các cuộc đàm phán, vẫn còn khoảng 602 BTC chưa được hoàn trả. USDt và DePix không bị xâm phạm trực tiếp, nhưng việc chuyển tiền và giao dịch đã tạm thời bị gián đoạn. Khóa ký trực tuyến của SideSwap, hoạt động rút tiền tự động và việc thiếu hạn mức rút tiền, kiểm soát tần suất giao dịch तथा xem xét thủ công đã làm lộ thêm các rủi ro đối với cầu nối và việc lưu ký. Sự cố mạng Liquid có thể tiếp tục gây áp lực lên thanh khoản LBTC, việc quyết toán xuyên chuỗi và niềm tin của thị trường.