Das auf Bitcoin basierende Zahlungs- und Abwicklungsnetzwerk Liquid Network ist Ziel eines schweren Sicherheitsvorfalls geworden. Angreifer haben nach Unternehmensangaben rund 4.000 Bitcoin aus der Federation-Wallet abgezogen – im Gegenwert von etwa 320 Millionen US-Dollar. Damit verlor Liquid Network nahezu sein gesamtes Guthaben.
Sicherheitsvorfall bei Liquid Network: Angriff auf die Sidechain
Liquid Network ist eine sogenannte Sidechain der Bitcoin-Blockchain und wird weltweit von Kryptobörsen für schnelle Abwicklungen genutzt. Das Netzwerk wurde 2018 vom Blockchain-Unternehmen Blockstream gestartet, um die oft langsamen Transaktionen auf der Bitcoin-Hauptchain zu umgehen. Dafür werden reguläre Bitcoin gesperrt und im Gegenzug Liquid Bitcoin (L-BTC) ausgegeben, die innerhalb des Netzwerks nahezu in Echtzeit transferiert werden können. Dieses Modell macht Liquid Network zu einer wichtigen Infrastruktur im Krypto-Handel.
Der Sicherheitsvorfall traf das Netzwerk am Sonntag. Über den Kurznachrichtendienst X teilte Liquid Network mit, dass rund 4.000 Bitcoin aus der gemeinsamen Federation-Wallet abgezogen wurden. Vor dem Vorfall belief sich das Guthaben auf etwa 4.200 BTC. Das entspricht einem Verlust von mehr als 95 Prozent der gehaltenen Bitcoin. Die verantwortlichen Täter bezeichneten sich selbst als White-Hat-Hacker, also als Sicherheitsforscher, die Schwachstellen ausnutzen, um sie offenzulegen. Üblicherweise geben White-Hat-Hacker die Gelder anschließend zurück – manchmal gegen eine Belohnung.
Was ist Liquid Network?
Liquid Network ist eine Sidechain, die parallel zur Bitcoin-Blockchain läuft. Kryptobörsen verwenden sie für Überweisungen, die auf der Hauptchain wegen Überlastung oft Minuten bis Stunden dauern können. Liquid Network stellt sicher, dass jede ausgegebene Einheit L-BTC durch echtes Bitcoin gedeckt ist, das in einer speziellen Wallet, der Federation-Wallet, gesperrt wird. Die Federation besteht aus mehreren autorisierten Dienstleistern, die die Vermögenswerte verwalten und Transaktionen validieren.
Diese Konstruktion macht Liquid Network schneller, aber auch abhängig von der Sicherheit der Federation-Schlüssel. Genau hier setzte der Angriff an, auch wenn die betroffenen Schlüssel nach bisherigen Erkenntnissen nicht kompromittiert wurden. Das Netzwerk hat die eigenen Systeme pausiert und die Bridge-Nodes deaktiviert. Neue Transaktionen können derzeit nicht gesendet werden.
So lief der Angriff ab
Die Spur führt zu einer Abwicklungsplattform namens SideSwap. Diese Plattform ist als Mitglied der Liquid Federation ein zugelassener Dienst für den Peg-out, also den Umtausch von L-BTC in echte Bitcoin. Ein Kunde sandte um 12:05 Uhr MESZ rund 4.000 L-BTC an den Peg-out-Service von SideSwap. Die Order lief nach außen unauffällig ab: Die L-BTC wurden auf Liquid verbrannt, eine gültige Peg-out-Autorisierung lag vor, und 23 Minuten später zahlte die Federation rund 3.996 BTC auf der Bitcoin-Mainchain aus.
Erst im Nachhinein stellte sich heraus, dass die Transaktion nicht legitim gewesen sein kann. Der verwendete Autorisierungsschlüssel, der als SideSwap-PAK bezeichnet wird, war nach Netzwerkangaben jedoch nicht kompromittiert. Auch andere Schlüssel blieben unversehrt. Das deutet darauf hin, dass der Fehler nicht in den kryptografischen Schlüsseln selbst liegt, sondern in der Software, die diese Schlüssel verwaltet.
Softwarefehler als wahrscheinliche Ursache
Als mögliche Ursache gilt ein Softwarefehler in Elements, der Open-Source-Codebasis, auf der Liquid Network läuft. Diese Software steuert die Kommunikation zwischen der Sidechain und der Bitcoin-Hauptchain. Ein fehlerhafter Codeabschnitt könnte es dem Angreifer ermöglicht haben, eine unberechtigte Peg-out-Autorisierung zu erzeugen, ohne dafür einen echten Schlüssel zu besitzen. Die Transaktion selbst wurde ordnungsgemäß signiert und von der Federation validiert – ein Zeichen dafür, dass die Angreifer eine Schwachstelle in der Logik des Netzwerks ausgenutzt haben.
Der Angreifer ließ nach der Transaktion eine Nachricht an eine Bitcoin-Transaktion anhängen. Darin bezeichnete er sich als White-Hat-Hacker und kündigte an, den größten Teil der abgezogenen Bitcoin zurückzugeben, sobald der Bug behoben sei und alle Nodes aktualisiert seien. Zwischen den Verantwortlichen von Liquid Network und dem Angreifer laufen derzeit Gespräche über die Rückgabe der Gelder. Ein Ergebnis steht noch aus.
Auswirkungen auf Börsen und andere Vermögenswerte
Die mit Liquid Network verbundenen Kryptobörsen wurden unverzüglich benachrichtigt. Sie haben Ein- und Auszahlungen von L-BTC ausgesetzt, um weitere Schäden zu verhindern. Der Sicherheitsvorfall betrifft ausschließlich die Liquid-Bridge und die damit verbundene Bitcoin-Sperre. Andere auf Liquid emittierte Vermögenswerte wie USDT, DePix oder RWAs sind nach bisherigen Erkenntnissen nicht betroffen. Auch Bitcoin selbst bleibt unversehrt: Der Fehler steckt in dem System, das auf Bitcoin aufsetzt, nicht in der Bitcoin-Blockchain selbst.
Trotzdem ist das Vertrauen in Liquid Network nachhaltig beschädigt. Der Vorfall zeigt, dass Sidechains eigene Angriffsvektoren mit sich bringen. Selbst wenn die Federation noch so viele Schlüssel sicher aufbewahrt, kann eine Schwachstelle in der Software die gesamte Sicherheitsarchitektur aushebeln. Für Nutzer bedeutet das: Nicht nur die Bitcoin-Blockchain, sondern auch die darauf aufbauende Infrastruktur muss strengen Sicherheitsprüfungen standhalten.
Die Lehren aus dem Sicherheitsvorfall
Liquid Network steht nun vor einer doppelten Herausforderung: Die technische Schwachstelle muss behoben und das Vertrauen der Börsen zurückgewonnen werden. Die schnelle Reaktion – Abschalten der Bridge-Nodes und Benachrichtigung der Partner – verhindert vorerst weitere Abflüsse. Entscheidend wird sein, ob und wie schnell die Gelder zurückkehren. Ein White-Hat-Hacker ist kein versicherter Schutz. Der Vorfall macht deutlich, dass Sicherheitskonzepte für Krypto-Infrastruktur nicht allein auf der Unknackbarkeit von Schlüsseln beruhen dürfen. Softwareschwachstellen müssen genauso ernst genommen werden wie physische Zugriffe auf Wallets. Für die Betreiber von Liquid Network beginnt nach dem Schock die eigentliche Bewährungsprobe: Sie müssen beweisen, dass das Netzwerk nicht nur schnell, sondern auch sicher ist.
