Liquidで約4,000BTCが流出、鍵は盗まれず――L-BTCのペグアウトで何が起きたのか

Liquid Networkでは、L-BTCの裏付けとなる連合ウォレットから約4,000BTCが流出し、当時の価値で約3億2,000万ドルと報じられました。報告された準備金約4,200BTCの約95％に相当します。Liquidはブリッジ機能を停止しました。3413

重要なのは、これは通常の「秘密鍵が盗まれた」事件とは別の可能性が指摘されている点です。公開情報はまだ不完全ですが、報道と関係者の説明では、Elementsのソフトウェア上のインフレ不具合によって裏付けのないL-BTCが作られ、それが認可済みのペグアウト経路を経て実際のBTCへ交換されたとみられています。213

何が起きたとされるのか

現時点で報じられている流れは、次のようなものです。

1. Elementsの不具合を悪用し、ロックされたBTCを裏付けとしないL-BTCが生成されたとされる。
2. そのL-BTCが、SideSwapの通常の顧客向けペグアウトサービスに送られた。
3. ペグアウトにはSideSwapのPeg-out Authorization Key（PAK、引き出し認可鍵）が使われたが、LiquidとSideSwapはいずれも、この鍵は侵害されていないとしている。
4. Liquidの連合インフラがBitcoinメインチェーンへの出金を認可し、約3,996BTCが支払われたとの報道がある。全体では約4,000BTCとされる。26

つまり、準備金を操作する鍵そのものを奪われたというより、本来は償還対象にならないL-BTCが、システム上は有効なL-BTCとして扱われ、出金審査を通過したことが問題の核心です。

鍵が盗まれていないのに、なぜHSMは署名できたのか

Liquidは「Strong Federation（強連合）」と呼ぶ連合型コンセンサスを採用しています。複数のフェデレーション参加者が協調してサイドチェーンを運用し、Bitcoin側の準備金は閾値署名で管理されます。

HSM（ハードウェア・セキュリティ・モジュール）は秘密鍵を保護し、設定された署名ポリシーを執行する装置です。しかし、HSMがL-BTCの発行履歴や経済的な裏付けを、独立して全面監査するわけではありません。認可経路を含め、システムが有効と認識する入力でペグアウト要求が組み立てられれば、鍵が盗まれていなくても署名は行われ得ます。

今回報じられた事案は、まさにこの区別にあります。

• 認可：ペグアウトは、侵害されていないとされるSideSwapの正規PAKを通じて処理された。
• 裏付け・来歴：償還に使われたL-BTCは、通常のBTCロックに基づく発行ではなく、Elementsの不具合で生じたものだった疑いがある。2

SideSwapは、約4,000BTCのペグアウトは顧客注文として同サービスを経由したもので、PAKは侵害されておらず、問題のL-BTCはSideSwapのシステムではなくElementsのバグに由来すると説明しました。

したがって、閾値署名やHSMの暗号技術が破られた、という話ではありません。共通の検証・発行ロジックに欠陥があれば、すべての署名者が同じ誤った判断に基づいて、形式上は正当な出金を承認してしまう可能性があります。有効な署名は「署名ポリシーが満たされた」ことを示すものの、償還された資産が正しく裏付けられていたことまで自動的に証明するものではありません。

「ホワイトハット」なのか

実行者はオンチェーンのメッセージで「we are whitehats. contact us on chain（私たちはホワイトハットだ。オンチェーンで連絡してほしい）」と主張しました。16

さらに、Blockstream／Liquid側は署名付きオンチェーンメッセージで実行者に連絡を試み、実行者は脆弱性がネットワーク全体で修正された後に資金の「大半」を返す意向を示したと報じられています。418

ただし、これはセキュリティ研究者としての動機を本人たちが主張していること、そして連絡手段を残したことを示すにとどまります。ホワイトハットであることの独立した証明にはなりません。記事作成時点で返還は確認されず、公開パッチやネットワーク再開も確認されていませんでした。13

現段階で適切な表現は「自称ホワイトハット」または「ホワイトハットを名乗る実行者」です。資金の返還、詳細な手法の開示、修正の検証がそろうまでは、結論として扱うべきではありません。

Liquid、SideSwap、取引所の対応

Liquidはブリッジノードを無効化し、BitcoinとLiquid間の通常の資産移動を止めました。取引所にもL-BTCの入出金停止、または停止準備が通知されました。48

SideSwapも、Liquidの停止中はペグインとペグアウトを停止すると説明しています。

これらは被害拡大を抑えるための封じ込め措置です。運営側は脆弱性を調査し、準備金の状況を精査し、安全に再開できる条件を判断する必要があります。報じられた復旧の前提には、不具合の修正、影響ノードの更新、流出BTCの扱いの解決が含まれます。1318

L-BTC保有者にとっての意味

L-BTCはLiquid上のBitcoinとして機能することを目指す資産ですが、実務上BTCと等価であるためには、ブリッジが利用可能であり、かつ十分な裏付けへの信頼が保たれている必要があります。

約4,200BTCとされた準備金から約4,000BTCが流出し、ブリッジも止まった状況では、通常のL-BTC償還は妨げられ、準備金不足が保有者にとって直接的な問題になります。313

これは最終的な回収不能を確定するものではありません。しかし少なくとも事案の継続中は、L-BTCの保有は、Bitcoinメインチェーン上で自由に出金できるBTCの保有と同じではありません。最終的な結果は、資金が回収されるか、不具合がどう修正されるか、フェデレーションの判断、各サービス事業者の対応に左右されます。

他のLiquid発行資産はどうなるのか

USDT、DePix、RWAなど、Liquid上で発行される他の資産の発行体準備金が、BTCが連合ウォレットから流出しただけで自動的に失われるわけではありません。Liquidは、これらの資産自体は今回の事案の影響を受けないと説明しました。

もっとも、「影響なし」を「リスクなし」と読み替えるべきではありません。ネットワーク停止はウォレットへのアクセス、取引所の対応、流動性、送金可否、そしてLiquidの手数料・ブリッジ資産であるL-BTCの利用に影響し得ます。各資産の直接的な裏付けはそれぞれの発行体と保管体制に依存しますが、実際に使えるかどうかはLiquidインフラの正常化にも依存します。

連合型ブリッジとBitVM型ブリッジの違い

Liquidの現行設計では、既知の許可制フェデレーションが閾値署名でBitcoin準備金を管理します。これは、すべての償還が裏付けられているかをBitcoinのコンセンサスが直接検証する設計とは異なります。

現在の連合型ペグ	構想段階のBitVM型1-of-nブリッジ
固定されたフェデレーションが、閾値署名でBitcoin準備金を管理する。	Blockstreamは長期的な研究イニシアチブと位置付けており、Liquidの現行機構を置き換える実装済みの仕組みではない。
鍵の保護、署名者の運用、共通の検証・ポリシーソフトウェアの正しさに依存する。	従来の閾値署名モデルより信頼前提を小さくすることが目標とされる。
共通ソフトウェアの欠陥があれば、全自動署名者が同じ無効な解釈を受け入れる可能性がある。	楽観的検証と異議申し立ての仕組みを用いる。安全性は、正しいプロトコル設計と、行動できる誠実なチャレンジャーの存在に依存する。

BitVM型の設計もブリッジのリスクを消すものではありません。リスクの置き場所が変わるだけです。異議を申し立てる参加者が監視・行動できること、不正証明プロセスが正しいこと、出金がより複雑になったり時間を要したりし得ることが前提になります。BitVMベースのブリッジ研究では、少なくとも1人の誠実な参加者を必要とする安全性モデルが示され、BitVM2は実行時に誰でも無効な主張へ異議を唱えられることを目指しています。

今回報じられた仕組みが確認されれば、この違いの重要性は明確です。閾値署名のフェデレーションは鍵の窃取に強くても、全署名者が「そのL-BTCは償還可能か」という同じ誤ったソフトウェア判断に依存していれば、共通の欠陥にさらされます。

結論

報じられた約3億2,000万ドル規模のLiquid事案は、一般的な秘密鍵盗難というより、ブリッジの検証・裏付け確認に関わる危機です。裏付けのないL-BTCが、認可済みのペグアウト経路を通過し、フェデレーションが実BTCを払い出した可能性があります。24

未解決の重要点は、Elementsの脆弱性の正確な内容、最終的な準備金とL-BTCの裏付け状況、資金が返還されるかどうか、そしてブリッジ再開前にどの統制を改める必要があるかです。これらが公開情報で検証されるまでは、「完了したホワイトハット開示」でも「通常の一時障害」でもなく、解決途上の事案として扱うべきです。