Sekitar 4.000 BTC Keluar dari Liquid: Bukan karena Kunci Dicuri, Lalu Apa yang Terjadi pada L-BTC?

Liquid Network menghentikan aktivitas bridge setelah sekitar 4.000 BTC—dilaporkan bernilai kurang lebih US$320 juta saat kejadian—keluar dari dompet federasi yang menjadi penjamin L-BTC. Penarikan ini setara dengan kira-kira 95% dari cadangan yang dilaporkan. Informasi yang tersedia mengarah pada dugaan celah inflasi pada perangkat lunak Elements, bukan pencurian kunci otorisasi milik federasi maupun SideSwap. Namun, rincian teknis publik mengenai celah tersebut masih belum lengkap. 413

Kronologi yang dilaporkan

Rangkaian kejadiannya relatif mudah dipahami, meski akar bug-nya belum diungkap sepenuhnya:

1. Seorang pelaku diduga menciptakan L-BTC yang tidak ditopang BTC terkunci, akibat celah pada perangkat lunak Elements.
2. L-BTC itu lalu dikirim ke layanan peg-out pelanggan SideSwap seperti dalam proses biasa.
3. Peg-out tersebut memakai Peg-out Authorization Key (PAK) SideSwap yang, menurut Liquid dan SideSwap, tidak disusupi.
4. Infrastruktur federasi Liquid kemudian mengotorisasi penarikan BTC di jaringan utama. Jumlah pembayaran dilaporkan sekitar 3.996 BTC, sementara keseluruhan insiden sekitar 4.000 BTC. 26

Dengan kata lain, kegagalannya bukan berupa pencurian kunci yang mengendalikan cadangan. Masalah yang dilaporkan adalah penarikan tampaknya tetap lolos pemeriksaan otorisasi, walaupun L-BTC yang ditebus diduga tidak memiliki penjamin ekonomi yang sah.

Mengapa HSM tetap dapat menandatangani tanpa kebocoran kunci?

Liquid memakai model Strong Federation: anggota federasi bersama-sama mengoperasikan sidechain dan mengendalikan cadangan BTC melalui tanda tangan ambang batas (threshold signing). Dokumentasi teknis Liquid menyebut model konsensus ini sebagai Strong Federations.

Hardware security module (HSM) berfungsi melindungi kunci penandatanganan dan menjalankan kebijakan yang telah dikonfigurasi. Namun, HSM bukan pemeriksa independen atas seluruh riwayat dan fakta ekonomi di balik sebuah aset. Bila permintaan peg-out menyajikan input yang dikenali sistem sebagai valid—termasuk jalur otorisasi yang valid—HSM dapat menandatangani transaksi tanpa ada kunci privat yang dicuri.

Itulah perbedaan penting dalam insiden yang dilaporkan ini:

• Otorisasi: peg-out disebut diproses menggunakan PAK SideSwap yang sah.
• Asal-usul dan penjaminan: L-BTC yang diajukan untuk penebusan diduga tercipta melalui bug Elements, bukan lewat penerbitan normal yang dijamin BTC. 2

SideSwap menyatakan peg-out sekitar 4.000 BTC itu masuk sebagai pesanan pelanggan melalui layanannya; PAK mereka tidak dikompromikan; dan L-BTC tersebut berasal dari bug Elements, bukan dari sistem SideSwap.

Implikasinya bukan bahwa kriptografi HSM atau tanda tangan ambang batas gagal. Sebaliknya, cacat pada validasi atau penerbitan yang dipakai bersama dapat membuat penandatangan otomatis yang berfungsi normal menyetujui penarikan yang seharusnya tidak layak. Tanda tangan valid membuktikan kebijakan penandatanganan telah terpenuhi; tanda tangan itu sendiri tidak membuktikan aset yang ditebus benar-benar dijamin secara semestinya.

Benarkah pelakunya “whitehat”?

Pelaku menyertakan pesan on-chain berbunyi: “we are whitehats. contact us on chain.” 16

Pemberitaan juga menunjukkan Blockstream/Liquid menghubungi pelaku melalui pesan on-chain bertanda tangan. Pelaku kemudian menawarkan pengembalian “sebagian besar” dana setelah kerentanan ditambal di seluruh jaringan. 418

Fakta tersebut hanya menunjukkan bahwa pelaku mengklaim motif riset keamanan dan menyediakan saluran komunikasi. Fakta itu tidak secara mandiri membuktikan status mereka sebagai white-hat hacker. Saat laporan disusun, dana belum dikonfirmasi kembali, dan belum ada konfirmasi publik mengenai patch ataupun pembukaan kembali jaringan. 13

Karena itu, istilah yang lebih akurat adalah “pelaku yang mengaku whitehat” atau “dugaan whitehat”. Label tersebut belum dapat dianggap sebagai kesimpulan sampai pengembalian dana, detail eksploitasi, dan perbaikannya terverifikasi secara independen.

Respons Liquid, SideSwap, dan bursa kripto

Liquid menonaktifkan node bridge dan menghentikan operasi, sehingga perpindahan normal aset antara Bitcoin dan Liquid tidak dapat berjalan. Bursa diberi tahu untuk menghentikan, atau bersiap menghentikan, setoran dan penarikan L-BTC. 48

SideSwap menyatakan mereka menghentikan peg-in dan peg-out selama Liquid masih dalam kondisi jeda.

Langkah-langkah ini bersifat penahanan risiko: tujuannya membatasi perpindahan tambahan melalui bridge sementara operator menyelidiki kerentanan yang dilaporkan, menghitung posisi cadangan, serta menetapkan syarat pembukaan kembali yang aman. Rencana pemulihan yang dilaporkan bergantung pada perbaikan celah, pembaruan node terdampak, dan penyelesaian status BTC yang telah ditarik. 1318

Dampaknya bagi pemegang L-BTC

L-BTC dirancang sebagai representasi Bitcoin di Liquid. Namun, kesetaraannya secara praktis dengan BTC yang dapat segera ditebus bergantung pada bridge yang tersedia dan cadangan yang dapat dipercaya.

Dengan sekitar 4.000 BTC dilaporkan keluar dari cadangan sekitar 4.200 BTC, sementara bridge dihentikan, penebusan L-BTC normal terganggu dan potensi kekurangan cadangan menjadi persoalan utama bagi pemegangnya. 313

Ini belum menentukan hasil pemulihan akhir. Akan tetapi, selama insiden berlangsung, memegang L-BTC secara operasional tidak sama dengan memegang BTC di jaringan utama Bitcoin yang dapat ditarik bebas. Hasil akhirnya bergantung pada pengembalian dana, perbaikan bug yang diduga terjadi, keputusan federasi, dan kebijakan penyedia layanan.

Aset lain yang diterbitkan di Liquid

Aset lain di Liquid tidak otomatis kehilangan cadangan penerbitnya hanya karena BTC keluar dari dompet federasi. Liquid menyatakan aset seperti USDT, DePix, dan RWA tidak terdampak langsung oleh insiden tersebut.

Meski demikian, kata “tidak terdampak” tidak berarti “tanpa risiko”. Jeda jaringan dapat mengganggu akses dompet, dukungan bursa, likuiditas, ketersediaan transaksi, serta penggunaan L-BTC sebagai aset biaya transaksi dan aset bridge. Penjaminan langsung tiap aset tetap bergantung pada penerbit dan pengaturan kustodian masing-masing, sedangkan kegunaan operasionalnya bergantung pada infrastruktur Liquid kembali berjalan normal.

Pelajaran arsitektur: federasi vs bridge bergaya BitVM

Desain Liquid saat ini bertumpu pada federasi yang dikenal dan berizin, dengan cadangan BTC yang dikendalikan melalui tanda tangan ambang batas. Ini berbeda dari model di mana konsensus Bitcoin sendiri memverifikasi bahwa setiap penebusan benar-benar dijamin.

Peg federatif Liquid saat ini	Arah bridge 1-of-n bergaya BitVM yang diusulkan
Federasi tetap mengendalikan cadangan Bitcoin melalui tanda tangan ambang batas.	Blockstream menyebutnya sebagai inisiatif riset jangka panjang, bukan pengganti Liquid yang sudah diterapkan.
Keamanan bergantung pada perlindungan kunci, operasi penandatangan, serta ketepatan perangkat lunak validasi dan kebijakan bersama.	Targetnya adalah mengurangi asumsi kepercayaan dibanding desain tanda tangan ambang batas konvensional.
Cacat perangkat lunak bersama berpotensi membuat semua penandatangan otomatis menerima interpretasi yang sama-sama keliru.	Sistem bergaya BitVM memakai verifikasi optimistis dan mekanisme tantangan; keamanannya bergantung pada desain protokol yang benar serta setidaknya satu penantang jujur yang aktif.

Model bergaya BitVM tidak menghapus risiko bridge. Model ini memindahkan risiko ke asumsi lain: penantang harus mampu dan bersedia bertindak, proses pembuktian kecurangan harus benar, dan penarikan dapat menjadi lebih rumit atau lebih lambat. Riset bridge berbasis BitVM menggambarkan target model keamanan yang membutuhkan sedikitnya satu peserta jujur, sementara BitVM2 ditujukan agar siapa pun dapat menantang klaim tidak valid saat sistem berjalan.

Jika mekanisme yang dilaporkan nanti terkonfirmasi, insiden Liquid menunjukkan mengapa perbedaan tersebut penting. Federasi berbasis tanda tangan ambang batas dapat aman dari pencurian kunci, tetapi tetap rentan ketika seluruh penandatangan bergantung pada interpretasi perangkat lunak yang sama dan ternyata keliru dalam menentukan apakah sebuah aset layak ditebus.

Kesimpulan

Insiden Liquid senilai sekitar US$320 juta yang dilaporkan ini merupakan krisis validasi bridge, bukan pencurian kunci privat dalam pengertian konvensional. Sejumlah L-BTC yang diduga tidak dijamin tampaknya berhasil melewati jalur peg-out berotorisasi, sehingga federasi melepaskan BTC asli. 24

Pertanyaan pentingnya masih terbuka: apa tepatnya kerentanan Elements tersebut, bagaimana posisi akhir cadangan dan penjaminan L-BTC, apakah dana akan dikembalikan, serta kontrol apa yang harus diubah sebelum bridge aman diaktifkan kembali. Sampai jawaban-jawaban itu diverifikasi secara publik, insiden ini sebaiknya diperlakukan sebagai kasus yang belum selesai—bukan sebagai pengungkapan whitehat yang telah tuntas ataupun gangguan layanan biasa.