Lỗ hổng Liquid Network rút gần 4.000 BTC khỏi quỹ dự trữ: Điều gì đã xảy ra?

Sự cố an ninh của Liquid vào tháng 9/2026 không phải là Bitcoin bị xâm phạm, mà là sự đổ vỡ trong cơ chế bảo đảm L-BTC luôn được bảo chứng 1:1 bằng BTC. Những người không rõ danh tính, tự gọi mình là “white hat”, được cho là đã khai thác lỗi trong phần mềm Elements để tạo L-BTC không có lượng BTC tương ứng trong quỹ dự trữ. Sau đó, họ dùng quy trình rút BTC khỏi Liquid (peg-out) như bình thường để nhận BTC thật từ ví của Liquid Federation. 1435

Hệ quả rất lớn: khoảng 4.000 BTC, tương đương gần 95% số dư khoảng 4.200 BTC của ví trước sự cố, đã rời quỹ dự trữ. Theo mức định giá trong các báo cáo cùng thời điểm, lượng BTC này trị giá xấp xỉ 320 triệu USD. 1214

Diễn giải đơn giản: L-BTC đã bị đổi thành BTC thật ra sao?

L-BTC là tài sản đại diện cho BTC được Liquid Federation lưu ký. Trong mô hình vận hành dự kiến, BTC được khóa trên blockchain Bitcoin, đồng thời một lượng L-BTC tương ứng được lưu hành trên Liquid — một sidechain, tức blockchain phụ kết nối với Bitcoin. Khi cần, người dùng có thể đổi L-BTC trở lại BTC qua quy trình peg-out.

Theo các báo cáo về vụ việc, lỗ hổng đã phá vỡ bước đầu tiên: nó cho phép phát hành L-BTC không có BTC đối ứng làm tài sản bảo chứng. Bên khai thác sau đó gửi khoảng 4.000 L-BTC đến dịch vụ peg-out của SideSwap. SideSwap xử lý lệnh theo luồng cấp quyền thông thường, đốt số L-BTC nhận được, còn Liquid Federation giải ngân 3.996 BTC tới địa chỉ Bitcoin được chỉ định. 3539

Điểm then chốt là SideSwap cho biết khóa Peg-out Authorization Key (PAK) đã được dùng trong giao dịch rút nhưng không bị xâm phạm, và các khóa khác của federation cũng vậy. Vấn đề nằm ở chỗ hệ thống không thể phân biệt L-BTC được tạo bất hợp lệ với L-BTC hợp lệ trước khi yêu cầu đổi được thực hiện. 3353

Dòng tiền đi qua SideSwap

Trình tự được tường thuật như sau:

1. Một lỗi trong Elements cho phép phát hành L-BTC mà không có BTC bảo chứng tương ứng.
2. Bên khai thác gửi khoảng 4.000 L-BTC tới dịch vụ peg-out của SideSwap.
3. SideSwap coi đây là tài sản hợp lệ của khách hàng, đốt L-BTC trên Liquid và ghi nhận một ủy quyền peg-out hợp lệ.
4. Liquid Federation chi khoảng 3.996 BTC từ quỹ dự trữ Bitcoin tới địa chỉ nhận. 3539

Nói cách khác, cơ chế peg-out đã vận hành đúng theo thiết kế trước một đầu vào sai về mặt kinh tế. Một lộ trình đổi tài sản trông có vẻ hợp lệ đã biến L-BTC không được bảo chứng thành BTC thực trong quỹ dự trữ trên blockchain Bitcoin.

Thông điệp OP_RETURN và khoản BTC được hoàn lại

Bên kiểm soát số BTC đã sử dụng các giao dịch Bitcoin có dữ liệu OP_RETURN — vùng dữ liệu nhỏ có thể ghi kèm trong giao dịch — để liên lạc công khai, trong đó có thông điệp tự nhận là “whitehats”. Sau khi nói các node cầu nối đã được vá, Blockstream phản hồi bằng một thông điệp ký PGP trên blockchain. 745

Nhóm này ban đầu nói sẽ hoàn trả phần lớn tiền sau khi lỗ hổng được khắc phục. Ngày 7/9, họ đã gửi lại 3.400 BTC tới địa chỉ peg của Liquid. Khoảng 598,5 BTC vẫn ở địa chỉ của bên nắm giữ — tương đương khoảng 15% lượng đã rút và được báo cáo cùng thời điểm định giá khoảng 47–48 triệu USD. 4445

Tuy nhiên, cách gọi họ là “white hat” chỉ là mô tả của chính những người này, không phải kết luận đã được xác lập về pháp lý hay an ninh. Phần BTC giữ lại được nhìn nhận rộng rãi như một khoản tiền thưởng hay phí tìm lỗi ngầm định, nhưng các thông tin hiện có không chứng minh rằng đã tồn tại thỏa thuận bug bounty chính thức. 4445

Liquid và Blockstream đã ứng phó khẩn cấp thế nào?

Các biện pháp ban đầu gồm vô hiệu hóa node cầu nối và dừng giao dịch mới. Các sàn giao dịch được thông báo để tạm dừng, hoặc chuẩn bị dừng, nạp và rút L-BTC. Liquid cũng cảnh báo ví Liquid sẽ bị ảnh hưởng trong thời gian các thành viên federation khôi phục hoạt động. 123353

Việc tạm dừng này hạn chế hoạt động cầu nối tiếp theo, nhưng cũng cho thấy rõ mô hình niềm tin của Liquid: đây là hệ thống liên minh (federated system), nơi đơn vị vận hành có thể can thiệp khi xảy ra khẩn cấp. Khả năng đó hữu ích để khoanh vùng sự cố, nhưng khác với mô hình đồng thuận không cần cấp phép của Bitcoin.

Liquid cho biết các tài sản khác phát hành trên sidechain — gồm USDT, DePix và tài sản thế giới thực (RWA) — không bị ảnh hưởng trực tiếp bởi lỗ hổng cụ thể này. Rủi ro tức thời tập trung vào người nắm giữ L-BTC và các dịch vụ phụ thuộc vào nạp, rút hoặc peg L-BTC. 113353

Sự cố bộc lộ gì về cơ chế bảo chứng của L-BTC?

Cam kết kinh tế cốt lõi của Liquid là L-BTC được bảo chứng 1:1 bằng BTC do federation lưu ký. Bitcoin không tự thực thi mối quan hệ này. Nó phụ thuộc vào việc logic phát hành và xác thực của Liquid/Elements, quy trình lưu ký và ký giao dịch của federation, cùng cơ chế peg-in/peg-out đều phải vận hành đúng.

Sự cố cho thấy toàn bộ chuỗi kiểm soát đều quan trọng. Bảo vệ lưu ký tốt hoặc một ủy quyền peg-out hợp lệ vẫn là chưa đủ nếu lỗi phát hành cho phép một “yêu cầu đòi tài sản” giả đi vào hệ thống. Khi L-BTC giả được chấp nhận để đổi, nó cạnh tranh trực tiếp với L-BTC hợp lệ để nhận một quỹ BTC hữu hạn. 143539

Nguyên tắc an toàn nghe đơn giản nhưng đòi hỏi rất cao: mỗi đơn vị tài sản bọc có thể đổi phải có tài sản bảo chứng có thể kiểm chứng, và hệ thống đổi trả phải từ chối mọi tài sản có lịch sử phát hành vi phạm quy tắc bảo chứng đó.

Một phần của bài toán an ninh hạ tầng crypto rộng hơn

Vụ Liquid không phải một vụ đánh cắp khóa riêng theo kiểu truyền thống. Tâm điểm nằm ở xác thực phần mềm và hạ tầng đổi trả — một bề mặt tấn công ngày càng quan trọng trong lĩnh vực tiền mã hóa.

CertiK ghi nhận tổng thiệt hại hơn 1,31 tỷ USD qua 344 sự cố an ninh crypto trong nửa đầu năm 2026. Nếu loại trừ vụ Bybit đặc biệt lớn khỏi phép so sánh với cùng kỳ năm trước, thiệt hại tăng khoảng 28% so với cùng kỳ. 19 Trong một thống kê riêng, CoinGecko tính từ tháng 1/2025 đến tháng 7/2026 đã có 3,63 tỷ USD bị đánh cắp qua 245 sự cố được ghi nhận; các nguyên nhân lớn gồm tấn công chuỗi cung ứng, khai thác hợp đồng thông minh và đánh cắp khóa. 17

Bài học từ Liquid vì vậy không chỉ dành cho một sidechain: các hệ thống cầu nối, bọc tài sản hoặc đổi trả tài sản phải kiểm thử giả định về tài sản bảo chứng từ đầu đến cuối. Chỉ một điểm hỏng trong khâu xác thực phát hành cũng có thể biến cơ chế đổi trả tưởng như hợp lệ thành đường để tài sản dự trữ rời khỏi hệ thống.