Ein Liquid Network Hack hat der Bitcoin-Sidechain von Blockstream rund 4'000 BTC im Wert von 320 Mio. USD entzogen. Mutmassliche Angreifer bieten inzwischen eine weitgehende Rückgabe an, sofern die ausgenutzte Lücke zuvor geschlossen wird.
Liquid ist eine Sidechain zu Bitcoin. Börsen und Handelsplattformen verschieben darüber BTC schnell und vertraulich untereinander, ohne auf die langsamere und teurere Mainchain zu warten. Wer das Netzwerk nutzt, sperrt dafür zunächst Bitcoin in einer Federation-Wallet und erhält im Gegenzug 1:1 den Token L-BTC. Blockstream Corp startete Liquid ursprünglich 2018, mitgegründet von Adam Back. Zur Federation gehören nach Angaben des Unternehmens über 80 Firmen. Auszahlungen autorisieren 15 Functionaries per 11-von-15-Multisig. Am 6. September 2026 verliessen jedoch rund 4'000 der zuvor etwa 4'200 BTC in dieser Reserve das Netzwerk. Zurück blieben rund 197 BTC. Die Transaktionen liefen über SideSwap, eine für Peg-outs autorisierte Settlement-Plattform. Deren Schlüssel blieb nach Angaben von Liquid Network intakt.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Ein Softwarebug ermöglicht den Hack bei Liquid Network
Die Angreifer stahlen keinen Schlüssel. Ursächlich war nach vorläufigen technischen Analysen ein Fehler im Elements-Node, der Software hinter der Sidechain. Betroffen ist demnach der Rangeproof-Cache, den das Netzwerk für vertrauliche Transaktionen einsetzt. Somit liess sich L-BTC erzeugen, dem kein gesperrtes Bitcoin gegenüberstand. Beim Peg-out prüfte die Federation schliesslich nur, ob die Auszahlungsadresse autorisiert war. Ob das eingereichte L-BTC überhaupt gedeckt war, kontrollierte sie hingegen nicht. Ihre 15 Functionaries halten die Schlüssel in dedizierter HSM-Hardware und validieren zugleich die Blöcke der Sidechain.
Ein Patch existierte offenbar bereits. Am 3. August 2026 hinterlegte ein Blockstream-Entwickler den Commit „fix: range proof cache bind to asset and scriptpubkey". In den Release-Zweig wanderte die Änderung jedoch erst nach dem Vorfall; das produktiv eingesetzte Release 23.3.3 enthielt sie nicht. Einen frühen Hinweis lieferten zudem die Block-Explorer. Blockstreams eigener Liquid-Explorer akzeptierte den fraglichen Block 4'050'336, der unabhängige Dienst mempool.space wies ihn hingegen zurück.
Folglich war für SideSwap die Herkunft der Coins nicht erkennbar. Der Dienst erklärte, er habe keine Möglichkeit gehabt, diese Coins von gewöhnlichem L-BTC zu unterscheiden. Auf Blockebene ging die Auszahlungsanfrage um 14:06 UTC ein. Gut zwanzig Minuten später zahlte die Federation auf der Bitcoin-Mainchain aus. Die genaue Summe variiert je nach Messpunkt. Der Peg-out umfasste rund 3'996 BTC. Die Auszahlung der Federation lag inklusive Gebühren letztlich bei rund 4'019 BTC. Der Vorfall trifft insgesamt eine Schicht, die Custody-Sicherheit nicht abdeckt. Die Schlüssel blieben intakt, versagt hat der Code.
Blockstream stellt Liquid Network vorübergehend ein
Das Netzwerk reagierte mit einem Stopp. Die Betreiber deaktivierten die Bridge-Nodes; somit lassen sich keine neuen Transaktionen mehr einspeisen. Börsen erhielten gleichzeitig die Anweisung, Ein- und Auszahlungen von L-BTC zu pausieren. Andere auf Liquid emittierte Vermögenswerte, darunter Tether und der brasilianische DePix, sollen jedoch nicht betroffen sein.
„Liquid-Wallets werden beeinträchtigt sein, und wir entschuldigen uns für allfällige Umstände." - Liquid Network, offizielle Stellungnahme
Die Reichweite des Stopps ergibt sich aus der Nutzerbasis. Zur Federation zählen über 80 Exchanges, Infrastrukturfirmen und Vermögensverwalter. Bitfinex und BTSE führt das Unternehmen als Nutzer, ebenso das im September 2026 schliessende BitMEX. Bitfinex teilt sich die Muttergesellschaft mit Tether. Diese Häuser nutzen die Sidechain für schnelles Settlement, weil Überweisungen auf der Bitcoin-Mainchain länger dauern und mehr kosten. Öffentliche Stellungnahmen der genannten Börsen liegen allerdings bislang nicht vor.
Blockstream selbst hielt sich zurück. Weder das Unternehmen noch Mitgründer Adam Back äusserten sich bis Redaktionsschluss auf X zu dem Abfluss. Öffentlich in Erscheinung traten deshalb vor allem das Netzwerk-Konto und SideSwap.
Mutmassliche Angreifer stellen eine Teilrückgabe in Aussicht
Die Verantwortlichen meldeten sich on-chain. „we are whitehats. contact us on chain.", hiess es in einer Botschaft, die sie in einer Transaktion hinterlegten. Einen Tag später folgte das Angebot, den grössten Teil der Mittel zurückzuführen, sobald der Fehler behoben sei. Zunächst solle der Bug gepatcht und jeder Node aktualisiert werden, danach werde das Geld sicher zurücktransferiert. Blockstream antwortete ebenfalls on-chain und verwies die Gegenseite an security@blockstream.com.
Zweifel an der Selbstbezeichnung kamen aus der Branche. Ledger-CTO Charles Guillemet hielt öffentlich fest, dass seriöse Sicherheitsforscher eine Schwachstelle üblicherweise melden, bevor sie Reserven dieser Grössenordnung bewegen. Der Einwand trifft einen Punkt. Wer 95% einer Reserve abzieht und ein Netzwerk lahmlegt, verhandelt letztlich aus einer Position der Stärke. Eine reguläre Meldung hätte sie nie erzeugt.
Der Vorfall reiht sich in ein teures Hack-Jahr ein
Die Grössenordnung sticht auch im Jahresvergleich heraus. Nach Zählung von TRM Labs summierten sich die Hack-Verluste 2026 vor dem Liquid-Abfluss auf rund 1.2 Mrd. USD. Verteilt waren sie auf 276 Vorfälle. Als drittgrösster Einzelfall des Jahres galt bis dahin der Angriff auf Coldcard-Hardware-Wallets von Ende Juli. Dabei flossen rund 116 Mio. USD in etwa 1'816 BTC aus über 5'200 Adressen ab. Ende August traf ein Exploit ausserdem die Cronos-Lending-Plattform Tectonic. Der Angreifer blähte den Preis des Tonic-Tokens binnen 20 Minuten um rund das 300-Fache auf. Daher konnte er sich über 74 Mio. USD leihen. Netto entwendete er rund 6 Mio. USD. Die Cronos-Validatoren froren den Handel folglich ein.
