Så tömdes Liquids BTC-reserv genom obackad L-BTC

Liquids säkerhetsincident i september 2026 handlade om att mekanismen som ska hålla L-BTC fullt uppbackad av bitcoin brast. Okända aktörer, som själva beskrev sig som ”white hats”, ska ha utnyttjat en bugg i Elements – mjukvaran som används av Liquid – för att skapa L-BTC utan att lika mycket BTC fanns i reserv. Därefter använde de den ordinarie uttagsprocessen, en så kallad peg-out, för att få ut riktiga bitcoin från Liquid Federations plånbok. 1435

Omkring 4 000 BTC lämnade reserven, vilket motsvarade ungefär 95 procent av plånbokens tidigare saldo på cirka 4 200 BTC. Vid tidpunkten värderades uttaget till omkring 320 miljoner dollar. 1214

Så fungerade exploiten

L-BTC är tänkt att representera bitcoin som hålls i förvar av Liquid-federationen. I den normala modellen låses BTC på Bitcoins huvudkedja, medan en motsvarande mängd L-BTC kan användas på Liquid. När innehavaren vill växla tillbaka bränns eller löses L-BTC in via en peg-out, och BTC betalas ut ur federationens reserv.

Enligt rapporteringen bröt sårbarheten den första länken i kedjan: obackad L-BTC kunde skapas. Aktörerna skickade sedan omkring 4 000 L-BTC till SideSwaps peg-out-tjänst. SideSwap behandlade ordern enligt sitt vanliga auktoriseringsflöde, brände den mottagna L-BTC:n och federationen betalade ut 3 996 BTC till den angivna Bitcoin-adressen. 3539

Det är en viktig skillnad: Liquid uppgav att SideSwaps Peg-out Authorization Key, PAK, användes vid inlösen men inte hade komprometterats. Inte heller andra federationsnycklar ska ha påverkats. Det rapporterade felet var i stället att systemet inte kunde skilja illegitimt skapad L-BTC från giltig L-BTC innan inlösen skedde. 3353

Vägen genom SideSwap

Händelseförloppet beskrivs i rapporteringen så här:

1. En brist i Elements möjliggjorde utgivning av L-BTC utan motsvarande BTC som säkerhet.
2. Aktörerna skickade omkring 4 000 L-BTC till SideSwaps peg-out-tjänst.
3. SideSwap behandlade tillgångarna som giltiga kundmedel, brände dem på Liquid och registrerade en giltig peg-out-auktorisering.
4. Liquid Federation betalade ut omkring 3 996 BTC ur Bitcoin-reserven till mottagaradressen. 3539

Med andra ord utförde uttagsmekanismen sin avsedda funktion, men utgick från en ekonomiskt ogiltig tillgång. En i övrigt vanlig inlösen omvandlade obackad L-BTC på sidokedjan till BTC i reserven på huvudkedjan.

Meddelanden på kedjan och den påstådda återlämningen

Parten som kontrollerade BTC använde Bitcoin-transaktioner med OP_RETURN-data för att kommunicera offentligt, bland annat med ett meddelande där den identifierade sig som ”whitehats”. Efter att ha uppgett att bryggnoderna hade patchats svarade Blockstream med ett PGP-signerat meddelande på kedjan. 745

Den 7 september återförde aktörerna 3 400 BTC till Liquids peg-adress. Omkring 598,5 BTC blev kvar på innehavaradressen – ungefär 15 procent av det uttagna beloppet och, enligt samtida rapportering, värt cirka 47–48 miljoner dollar. 4445

Benämningen ”white hats” är aktörernas egen beskrivning, inte en fastslagen juridisk eller säkerhetsmässig bedömning. Det kvarhållna beloppet har ofta beskrivits som en underförstådd belöning eller hittelön, men tillgänglig rapportering visar inte att något bug bounty-avtal hade träffats. 4445

Liquids och Blockstreams akutåtgärder

Liquid stängde av bryggnoder och stoppade nya transaktioner. Kryptobörser informerades om att pausa, eller förbereda paus av, insättningar och uttag av L-BTC. Nätverket meddelade också att Liquid-plånböcker skulle påverkas medan federationsmedlemmarna arbetade med att återställa driften. 123353

Pausen begränsade fortsatt aktivitet över bryggan, men synliggjorde samtidigt förtroendemodellen: Liquid är ett federerat system där operatörer kan ingripa i en nödsituation. Det kan vara värdefullt för att begränsa skador, men skiljer sig från Bitcoins öppna och tillståndslösa konsensusmodell.

Liquid uppgav att andra tillgångar på sidokedjan – däribland USDT, DePix och utgivningar kopplade till reala tillgångar, RWA – inte var direkt drabbade av just denna exploit. Den omedelbara exponeringen gällde främst L-BTC-innehavare och tjänster som var beroende av L-BTC-insättningar, uttag eller peg-funktioner. 113353

Vad incidenten säger om L-BTC:s uppbackning

Liquids centrala ekonomiska löfte är att L-BTC ska vara uppbackad en-till-en av BTC som förvaras av federationen. Bitcoin-nätverket självt upprätthåller inte den kopplingen. Den beror på att Liquids regler för utgivning och validering, federationens förvaring och signeringsrutiner samt processen för insättning och uttag fungerar tillsammans.

Händelsen visar varför hela kontrollkedjan är avgörande. Stark förvaring eller en giltig peg-out-auktorisering räcker inte om ett fel i utgivningen kan släppa in en förfalskad fordran i systemet. När den obackade L-BTC:n accepterades för inlösen konkurrerade den med legitim L-BTC om samma begränsade BTC-reserv. 143539

Den praktiska säkerhetsprincipen är enkel men krävande: varje enhet av en inlösbar, inpackad tillgång måste ha verifierbar uppbackning, och inlösensystemet måste avvisa tillgångar vars utgivning bryter mot den regeln.

Del av ett större problem för kryptoinfrastruktur

Liquid-incidenten var inte en traditionell stöld av privata nycklar. I stället kretsade den kring mjukvaruvalidering och infrastruktur för inlösen – en allt viktigare angreppsyta i kryptosystem.

CertiK rapporterade förluster på mer än 1,31 miljarder dollar i 344 kryptosäkerhetsincidenter under första halvåret 2026. När det exceptionella Bybit-intrånget i jämförelseperioden året före räknas bort var förlusterna omkring 28 procent högre på årsbasis. 19 CoinGecko räknade separat till 3,63 miljarder dollar stulna i 245 dokumenterade incidenter mellan januari 2025 och juli 2026, där attacker mot leveranskedjor, smarta kontrakt och stulna nycklar hörde till de främsta orsakerna. 17

Lärdomen från Liquid är därför större än en enskild sidokedja: system som bryggar, paketerar eller löser in tillgångar måste testa sina antaganden om uppbackning från början till slut. Ett enda fel i valideringen av utgivningen kan göra en till synes legitim inlösenmekanism till vägen ut för reservtillgångarna.