كيف استنزفت ثغرة Liquid نحو 4,000 بيتكوين وما الذي كشفته عن ضمانات L-BTC؟

في حادثة Liquid الأمنية خلال سبتمبر 2026، أخفق النظام الذي يُفترض أن يضمن تغطية L-BTC ببيتكوين فعلي بنسبة 1:1. واستغل فاعلون مجهولون، وصفوا أنفسهم بأنهم «قبعات بيضاء»، خللاً في برمجية Elements المستخدمة في Liquid لإصدار L-BTC من دون وجود BTC مكافئ في الاحتياطي. بعد ذلك استخدموا مسار السحب أو الاسترداد المعتاد، المعروف باسم peg-out، للحصول على بيتكوين حقيقي من محفظة اتحاد Liquid. 1435

كانت الحصيلة ضخمة: خرج نحو 4,000 BTC، أي قرابة 95% من رصيد المحفظة قبل الحادث والبالغ حوالي 4,200 BTC. وقدرت تقارير وقتها قيمة السحب بنحو 320 مليون دولار. 1214

الفكرة ببساطة: أين انهارت آلية الضمان؟

تمثل L-BTC، من حيث التصميم، بيتكوين محفوظاً لدى اتحاد Liquid. في الوضع الطبيعي، يُقفل BTC على سلسلة بيتكوين الرئيسية، ويصدر في المقابل مقدار مساوٍ من L-BTC داخل Liquid. وعند رغبة المستخدم في الاسترداد، يُتلف L-BTC ضمن عملية peg-out ثم يتلقى BTC من احتياطي الاتحاد.

بحسب التقارير، ضربت الثغرة الجزء الأول من هذه المعادلة: فقد أتاحت إصدار L-BTC غير مدعوم ببيتكوين محتجز فعلاً. ثم قُدّم نحو 4,000 L-BTC إلى خدمة peg-out التابعة لـSideSwap. عالجت SideSwap الطلب عبر إجراءات التفويض المعتادة، وأحرقت L-BTC الذي تسلمته، ثم أطلق اتحاد Liquid 3,996 BTC إلى عنوان بيتكوين المحدد. 3539

وهنا تكمن النقطة الحاسمة: ذكرت Liquid أن مفتاح تفويض السحب لدى SideSwap، أو PAK، استُخدم ضمن عملية الاسترداد، لكنه لم يُخترق، كما لم تُخترق مفاتيح أخرى للاتحاد. المشكلة، وفقاً للرواية المعلنة، هي أن النظام لم يتمكن قبل الاسترداد من تمييز L-BTC المُصدر بصورة غير مشروعة عن L-BTC السليم. 3353

كيف انتقلت الأموال عبر SideSwap؟

تسلسل العملية المبلّغ عنه كان كالآتي:

1. أتاح خلل في Elements إصدار L-BTC من دون غطاء BTC مماثل.
2. قدّم الفاعلون قرابة 4,000 L-BTC إلى خدمة peg-out في SideSwap.
3. تعاملت SideSwap مع الأصول باعتبارها أموال عميل صحيحة، فأحرقتها على Liquid وسجلت تفويض سحب صالحاً.
4. دفع اتحاد Liquid نحو 3,996 BTC من الاحتياطي على سلسلة بيتكوين الرئيسية إلى عنوان المستلم. 3539

بمعنى آخر، نفذت آلية peg-out وظيفتها كما صُممت، لكنها استقبلت مدخلاً اقتصادياً غير صحيح. فتحول مسار استرداد يبدو عادياً إلى قناة لتحويل أصل جانبي بلا غطاء إلى بيتكوين حقيقي من الاحتياطي.

رسائل على السلسلة وعودة جزئية للأموال

استخدمت الجهة الحائزة على البيتكوين معاملات بيتكوين وبيانات OP_RETURN للتواصل علناً، بما في ذلك رسالة تعرّف نفسها فيها بأنها «whitehats». وردت Blockstream برسالة موقعة بمفتاح PGP ومثبتة على السلسلة، بعد أن أعلنت إصلاح عُقد الجسر. 745

قال الفاعلون في البداية إنهم سيعيدون معظم الأموال بعد إصلاح الثغرة. وفي 7 سبتمبر أعادوا 3,400 BTC إلى عنوان ربط Liquid، بينما بقيت قرابة 598.5 BTC في عنوان الحائز؛ أي نحو 15% من المبلغ المسحوب، وقدرت تقارير معاصرة قيمتها بنحو 47 إلى 48 مليون دولار. 4445

ولا ينبغي التعامل مع وصف «القبعات البيضاء» بوصفه حكماً قانونياً أو أمنياً ثابتاً؛ فهو توصيف صادر عن الفاعلين أنفسهم. ووُصفت الكمية المحتفظ بها على نطاق واسع بأنها مكافأة أو أتعاب اكتشاف ضمنية، لكن التقارير المتاحة لا تثبت وجود اتفاق رسمي مسبق على برنامج مكافآت للثغرات. 4445

إجراءات Liquid وBlockstream لاحتواء الحادثة

شملت الاستجابة العاجلة تعطيل عُقد الجسر ووقف نشاط المعاملات الجديدة. كما أُبلغت منصات التداول لتعليق، أو الاستعداد لتعليق، إيداعات وسحوبات L-BTC. وأقرت الشبكة بأن محافظ Liquid ستتأثر ريثما يعمل أعضاء الاتحاد على استعادة الخدمة. 123353

ساعد الإيقاف على الحد من نشاط الجسر الإضافي، لكنه أبرز أيضاً طبيعة نموذج الثقة في Liquid: فهي شبكة اتحادية يمكن لمشغليها التدخل تشغيلياً عند الطوارئ. قد يفيد ذلك في الاحتواء، لكنه يختلف عن نموذج الإجماع المفتوح وغير المصرح به في بيتكوين.

وقالت Liquid إن الأصول الأخرى المُصدرة على الشبكة الجانبية، ومنها USDT وDePix وإصدارات الأصول الواقعية (RWA)، لم تتأثر مباشرة بهذه الثغرة. وكان التعرض المباشر منصباً أساساً على حاملي L-BTC والخدمات التي تعتمد على إيداعه أو سحبه أو عمليات الربط الخاصة به. 113353

ما الذي كشفته الحادثة عن غطاء L-BTC؟

الوعد الاقتصادي الأساسي لـLiquid هو أن كل وحدة L-BTC مغطاة بوحدة BTC يحتفظ بها الاتحاد. لكن سلسلة بيتكوين نفسها لا تفرض هذه العلاقة؛ بل تعتمد على عمل منطق الإصدار والتحقق في Liquid بشكل صحيح، وإجراءات الحفظ والتوقيع لدى الاتحاد، وآليتي peg-in وpeg-out معاً.

توضح الحادثة لماذا يجب أن تعمل سلسلة الضوابط بأكملها بلا خلل. فحماية الحفظ القوية أو تفويض السحب الصحيح لا يكفيان إذا سمح عيب في الإصدار بدخول مطالبة مزيفة إلى النظام. وما إن قُبل L-BTC غير المغطى للاسترداد، حتى نافس L-BTC الشرعي على احتياطي BTC محدود واحد. 143539

الخلاصة الأمنية بسيطة في صياغتها، وصعبة في تطبيقها: ينبغي أن يكون لكل وحدة من أصل قابل للاسترداد غطاء يمكن التحقق منه، ويجب أن يرفض نظام الاسترداد أي أصل ينتهك تاريخ إصداره قاعدة الغطاء هذه.

جزء من مشكلة أوسع في أمن البنية التحتية للعملات المشفرة

لم تكن حادثة Liquid سرقة تقليدية لمفتاح خاص؛ بل تمحورت حول التحقق البرمجي وبنية الاسترداد، وهما سطح هجوم يزداد أهمية في أنظمة الأصول المغلفة والجسور.

وأفادت CertiK بخسائر تتجاوز 1.31 مليار دولار في 344 حادثة أمنية في قطاع التشفير خلال النصف الأول من 2026. وبعد استبعاد اختراق Bybit الاستثنائي من مقارنة العام السابق، قالت إن الخسائر ارتفعت بنحو 28% على أساس سنوي. 19 وبشكل منفصل، أحصت CoinGecko 3.63 مليارات دولار مسروقة في 245 حادثة موثقة بين يناير 2025 ويوليو 2026، وكانت هجمات سلاسل التوريد، واستغلالات العقود الذكية، وسرقة المفاتيح من أبرز الأسباب. 17

لذلك لا تقتصر دلالة Liquid على شبكة جانبية واحدة: فالأنظمة التي تربط الأصول أو تغلفها أو تستردها تحتاج إلى اختبار افتراضات الغطاء من البداية إلى النهاية. إذ يمكن لفشل واحد في التحقق من الإصدار أن يجعل آلية استرداد تبدو مشروعة هي الطريق الذي تخرج عبره أصول الاحتياطي من النظام.