Die Rückgabe von 3.400 Bitcoin an das Liquid Network innerhalb von nur 24 Stunden nach dem spektakulären Angriff wirft ein grelles Licht auf die fragilen Sicherheitsmechanismen von Krypto-Seitenketten. Ungeachtet der demonstrativen Rückführung von etwa 265 Millionen US-Dollar in die Federations-Wallet behalten die Angreifer knapp 600 Bitcoin im Wert von rund 47 Millionen US-Dollar ein – eine Summe, die die diffizile Grauzone zwischen White-Hat-Hacking und Erpressung offenlegt.
Der Angriff auf die Bitcoin-Seitenkette Liquid
Am Sonntag, dem 6. September, entwendeten unbekannte Angreifer nahezu 4.000 Bitcoin aus dem Liquid Network, einer Sidechain des Bitcoin-Netzwerks, die reale Bitcoin als Sicherheit für den Token L-BTC hinterlegt. Der Vorfall legte die gesamte Plattform lahm, sodass Inhaber von L-BTC ihre Token derzeit nicht wieder in echtes Bitcoin umwandeln können. Nach Angaben von Blockstream, dem Technologieanbieter des Liquid Networks, handelte es sich bei den Tätern um sogenannte White-Hat-Hacker, die rund 95 Prozent der zuvor gemeldeten Reserven von etwa 4.200 Bitcoin abzogen. Der damalige Wert der Beute belief sich auf rund 320 Millionen US-Dollar.
Die spektakuläre Rückführung der Gelder
Bereits am darauffolgenden Montag, dem 7. September, um 16:09 Uhr UTC, sendeten die Angreifer 3.400 Bitcoin an eine bekannte Liquid-Federation-Adresse zurück. Die Transaktion ist im öffentlichen Bitcoin-Blockchain-Explorer Mempool.space einsehbar. Bei den nicht zurückgegebenen 598,5 Bitcoin handelt es sich laut Blockchain-Analysen nicht um eine separate Zahlung, sondern um das Wechselgeld derselben Transaktion, das an die ursprüngliche Absenderadresse zurückgesandt wurde. Diese Adresse war auch am 8. September noch nicht wieder angetastet worden.
Der Gesamtwert der zurückgegebenen Bitcoin belief sich bei einem Kurs von etwa 78.000 US-Dollar pro Coin auf rund 265 Millionen Dollar. Die einbehaltenen 598,5 Bitcoin repräsentieren einen Gegenwert von knapp 47 Millionen Dollar. Weder Blockstream noch das Liquid Network haben öffentlich bestätigt, ob diese Summe Teil einer vorherigen Vereinbarung mit den Hackern ist.
White-Hats oder Erpresser? Die Kommunikation auf der Blockchain
Die Kommunikation zwischen den Angreifern und dem Liquid-Team spielte sich direkt auf der Bitcoin-Blockchain ab. In einer frühen Transaktion hinterließen die Hacker die Nachricht: „We are whitehats. contact us on chain.“ („Wir sind White-Hats. Kontaktiert uns on chain.“). Laut übereinstimmenden Medienberichten verlangte die Gruppe, dass der entdeckte Sicherheitsfehler behoben und sämtliche Knoten des Netzwerks aktualisiert werden müssten, bevor sie die Gelder zurückgeben würden. Blockstream antwortete mit einer signierten Nachricht, dass die Bridge-Nodes gepatcht und die Gelder sicher zur Rückgabe seien.
Eine weitere Transaktion, bestätigt um 15:31 UTC am 7. September, sandte 1.000 Satoshis (0,00001 Bitcoin) an die Federation-Adresse, begleitet von einer PGP-verschlüsselten Nachricht. Der Inhalt dieser Nachricht ist nicht öffentlich. Nur 38 Minuten später folgte die Rücküberweisung der 3.400 Bitcoin.
Technische Schwachstelle im Peg-Out-Mechanismus
Der Zugriff auf die Gelder erfolgte über den sogenannten SideSwap-Peg-Out-Authorization-Key. Hierbei handelt es sich um einen der kryptografischen Schlüssel, die benötigt werden, um Bitcoin aus der Sidechain freizugeben und auf die Haupt-Blockchain zu transferieren. Ein Peg-Out vernichtet L-BTC auf der Sidechain und gibt die entsprechenden Bitcoin auf der Hauptkette frei. Blockstream betonte, dass dieser spezielle Schlüssel nicht kompromittiert worden sei, ebenso wenig wie andere Schlüssel.
Die eigentliche Ursache lag laut SideSwap in einem Software-Fehler in Elements – der zugrundeliegenden Software, auf der Liquid läuft. Der Bug habe es ermöglicht, die für den Peg-Out benötigten L-BTC zu erzeugen, ohne dass diese tatsächlich durch reale Bitcoin gedeckt waren. SideSwap erklärte ausdrücklich, dass weder seine Systeme noch der verwendete Autorisierungsschlüssel gehackt worden seien. Blockstream selbst hat die genaue Natur des Fehlers weder in seiner Incident-Meldung noch in den Status-Updates detailliert beschrieben.
Die Reaktion des Liquid-Teams und Ausblick
Blockstream gab an, aktualisierte Software bereitgestellt zu haben, und die Mitglieder der Federation bereiten einen koordinierten Neustart des Netzwerks vor. Samson Mow, CEO von JAN3 und ehemaliger Blockstream-Manager, bestätigte, dass Blockstream weiterhin in Kontakt mit der Hackergruppe stehe. Er warnte Nutzer davor, Bitcoin an die Peg-In-Adressen von Liquid zu senden, bis der Restart bestätigt sei. Diese Adressen werden benötigt, um neues L-BTC zu schaffen.
Bis zum 8. September war der Status des Netzwerks weiterhin als „aktiv“ mit heruntergefahrenen öffentlichen Bridge-Nodes gelistet. Eine Aktualisierung der Status-Seite bezüglich der Rückgabe der Gelder erfolgte nicht. Blockstream stellte klar, dass andere auf Liquid ausgegebene Vermögenswerte wie USDT und DePix von dem Vorfall nicht betroffen sind.
Die kontroverse Bewertung der Aktion
Die Selbstbezeichnung der Angreifer als White-Hats stößt in der Branche auf Skepsis. Charles Guillemet, Chief Technology Officer des Hardware-Wallet-Herstellers Ledger, wies die Einordnung der Hacker als ethisch handelnde Sicherheitsforscher entschieden zurück. Er argumentierte, dass die Einbehaltung von rund 600 Bitcoin, die offenbar als Belohnung für die Aufdeckung des Bugs und die Rückführung der Gelder verhandelt wurde, weit mehr nach Erpressung als nach verantwortungsvoller Offenlegung einer Schwachstelle klinge. Diese Einschätzung verdeutlicht die fragile ethische Architektur, die den DeFi-Sektor durchzieht – wo der Grat zwischen produktiver Sicherheitsarbeit und krimineller Bereicherung schmal ist.
Der Vorfall auf dem Liquid Network wirft fundamentale Fragen nach der Sicherheitsarchitektur von Bitcoin-Seitenketten auf. Dass ein einziger Software-Fehler in der Sidechain dazu führen konnte, dass fast der gesamte Bestand an realen Bitcoin entwendet wurde, untergräbt das Vertrauen in die technische Robustheit solcher Systeme. Die Rückgabe von 85 Prozent der gestohlenen Gelder mag zunächst wie ein positives Ergebnis erscheinen, doch der dauerhafte Verlust von fast 50 Millionen Dollar und die Vorenthaltung der konkreten technischen Details durch Blockstream lassen Zweifel daran, ob das Liquid Network seine ursprüngliche Mission – ein vertrauenswürdiges und sicheres zweites Layer für Bitcoin zu sein – tatsächlich erfüllen kann. Die anstehende Wiederinbetriebnahme wird zeigen, ob die Federation das Vertrauen der Nutzer zurückgewinnen kann oder ob die Sidechain dauerhaft unter dem Schatten dieser beispiellosen Sicherheitslücke stehen wird.
