Liquid-udnyttelsen: Sådan blev 4.000 BTC trukket ud af reserven

Liquids sikkerhedshændelse i september 2026 ramte selve mekanismen, der skulle sikre, at L-BTC altid var fuldt dækket af bitcoin. Ukendte aktører, som selv beskrev sig som “white hats”, udnyttede ifølge rapporteringen en fejl i Elements-softwaren bag Liquid til at skabe L-BTC uden tilsvarende BTC i reserve. Derefter brugte de den almindelige peg-out-proces til at få udbetalt rigtige bitcoin fra Liquid Federations wallet. 1435

Omkring 4.000 BTC – omtrent 95 % af walletens saldo på cirka 4.200 BTC før hændelsen – forlod reserven. På tidspunktet blev beløbet anslået til omkring 320 mio. dollar. 1214

Kort fortalt: Sådan virkede angrebet

L-BTC skal repræsentere bitcoin, som opbevares af Liquids federation. Under den normale model låses BTC på Bitcoins hovednet, mens et tilsvarende antal L-BTC kan bruges på Liquid. Når en bruger vil tilbage til Bitcoin-netværket, indløses eller destrueres L-BTC via et peg-out, og federationens reserve udbetaler BTC.

Den rapporterede sårbarhed brød den første del af denne kæde: Den gjorde det muligt at udstede L-BTC uden dækning. Aktørerne sendte derefter omkring 4.000 L-BTC til SideSwaps peg-out-tjeneste. SideSwap behandlede ordren i sit normale autorisationsflow, brændte de modtagne L-BTC, og federationen udbetalte 3.996 BTC til den angivne Bitcoin-adresse. 3539

Det afgørende er, at SideSwaps Peg-out Authorization Key, eller PAK, blev brugt i indløsningen, men ifølge Liquid ikke var kompromitteret – og det samme gjaldt andre federationsnøgler. Problemet var, at systemet ikke kunne skelne de illegitimt udstedte L-BTC fra gyldige L-BTC, før indløsningen blev gennemført. 3353

Pengestrømmen gennem SideSwap

Det rapporterede forløb var:

1. En fejl i Elements muliggjorde udstedelse af L-BTC uden tilsvarende BTC som sikkerhed.
2. Aktørerne indsendte omkring 4.000 L-BTC til SideSwaps peg-out-tjeneste.
3. SideSwap behandlede dem som gyldige kundemidler, brændte L-BTC på Liquid og registrerede en gyldig peg-out-autorisation.
4. Liquid Federation udbetalte cirka 3.996 BTC fra Bitcoin-reserven til modtageradressen. 3539

Peg-out-mekanismen fulgte altså den forventede tekniske proces, men på et økonomisk ugyldigt grundlag. En tilsyneladende almindelig indløsning forvandlede dermed en udækket sidechain-token til BTC fra federationsreserven på Bitcoins hovednet.

Beskeder på kæden og den påståede tilbagebetaling

Den part, der kontrollerede BTC'erne, kommunikerede offentligt ved at lægge data i Bitcoin-transaktioner via OP_RETURN, blandt andet med en besked om, at de var “whitehats”. Efter at have oplyst, at bridge-noderne var patchet, svarede Blockstream med en PGP-signeret besked på kæden. 745

Aktørerne sagde først, at de ville returnere hovedparten af midlerne, når sårbarheden var lukket. Den 7. september sendte de 3.400 BTC tilbage til Liquids peg-adresse. Omkring 598,5 BTC blev på adressen, der holdt midlerne – cirka 15 % af det udtrukne beløb og i samtidige rapporter vurderet til omtrent 47-48 mio. dollar. 4445

Betegnelsen “white hats” er alene aktørernes egen beskrivelse, ikke en fastslået juridisk eller sikkerhedsfaglig vurdering. Det tilbageholdte beløb blev bredt omtalt som en underforstået dusør eller findeløn, men de tilgængelige oplysninger dokumenterer ikke en aftalt bug bounty-ordning. 4445

Liquids og Blockstreams nødtiltag

Liquid reagerede ved at deaktivere bridge-noder og standse nye transaktioner. Børser blev underrettet om at sætte L-BTC-indskud og -udbetalinger på pause eller forberede en pause. Netværket advarede samtidig om, at Liquid-wallets ville blive påvirket, mens federationsmedlemmerne arbejdede på at genoprette driften. 123353

Pausen begrænsede yderligere bridge-aktivitet, men viste også tydeligt tillidsmodellen: Liquid er et federeret system, hvor operatørerne kan gribe ind under en nødsituation. Det kan hjælpe med inddæmning, men adskiller sig fra Bitcoins åbne og tilladelsesfrie konsensusmodel.

Liquid oplyste, at andre aktiver udstedt på sidechainen – herunder USDT, DePix og tokeniserede real-world assets – ikke var direkte ramt af netop denne udnyttelse. Den umiddelbare eksponering lå især hos L-BTC-indehavere samt tjenester, der var afhængige af L-BTC-indskud, udbetalinger eller peg-aktivitet. 113353

Hvad hændelsen siger om L-BTC's dækning

Kernen i Liquid-modellen er løftet om, at L-BTC er dækket én til én af BTC under federationens kontrol. Bitcoin-netværket håndhæver ikke selv det forhold. Det afhænger af, at Liquids regler for udstedelse og validering, federationens opbevaring og signering samt peg-in- og peg-out-processerne fungerer korrekt sammen.

Hændelsen viser, hvorfor hele kæden af kontroller skal holde. Stærk opbevaring eller en gyldig peg-out-autorisation er ikke nok, hvis en fejl ved udstedelsen tillader et falsk krav at komme ind i systemet. Da de udækkede L-BTC blev accepteret til indløsning, konkurrerede de med legitime L-BTC om den samme begrænsede BTC-reserve. 143539

Det centrale sikkerhedsprincip er enkelt, men krævende: Hver enhed af et indløseligt, repræsenteret aktiv skal have dokumenterbar dækning, og indløsningssystemet skal afvise aktiver, hvis udstedelse bryder den regel.

Del af et bredere sikkerhedsproblem i kryptoinfrastruktur

Liquid-hændelsen var ikke et traditionelt tyveri af private nøgler. Den handlede i stedet om softwarevalidering og infrastruktur for indløsning – en angrebsflade, der får stadig større betydning i kryptosystemer.

CertiK registrerede tab på over 1,31 mia. dollar i 344 kryptosikkerhedshændelser i første halvår af 2026. Når det ekstraordinære Bybit-brud i sammenligningsperioden året før trækkes ud, var tabene ifølge rapporten cirka 28 % højere år for år. 19 CoinGecko opgjorde separat 3,63 mia. dollar stjålet i 245 dokumenterede hændelser fra januar 2025 til juli 2026, hvor supply-chain-angreb, smart contract-udnyttelser og stjålne nøgler var blandt de væsentlige årsager. 17

Læringen fra Liquid rækker derfor længere end til én sidechain: Systemer, der bygger bro mellem netværk, pakker aktiver ind eller indløser dem, må teste deres antagelser om dækning fra ende til ende. En enkelt fejl i valideringen af udstedelse kan gøre en tilsyneladende legitim indløsningsmekanisme til den vej, reserverne forlader systemet.