Im September 2026 wurde das Liquid Network, die Bitcoin-Sidechain von Blockstream, Opfer eines gravierenden Sicherheitsvorfalls. Durch einen Softwarefehler in der Open-Source-Plattform Elements konnten Angreifer rund 4.000 Bitcoin (etwa 320 Millionen US-Dollar) aus dem Federation-Wallet abziehen. Nachdem die Lücke geschlossen wurde, kehrten die Hacker 3.400 BTC zurück, während 598,5 BTC (ca. 47 Millionen US-Dollar) im Besitz der Angreifer verblieben. Der Vorfall verdeutlicht die Risiken von Sidechain-Bridges und wirft Fragen zur Legitimität selbsternannter White-Hat-Hacker auf.

Umfang des Wallet-Drains und Restbestände

Der Diebstahl betraf fast die gesamte Bitcoin-Reserve des Liquid-Federation-Wallets. Vor dem Exploit lag das Wallet bei etwa 4.200 BTC; nach dem Angriff verblieben lediglich rund 197 BTC.

  • Entwendete Menge: 4.000 BTC (≈ 95 % der Gesamtreserve)
  • Rücküberwiesene Menge: 3.400 BTC
  • Verbleibende Beute: 598,5 BTC (exakt 15 % der gestohlenen Summe)
  • Wert der einbehaltenen BTC: rund 47 Mio. USD

Die Zahlen stammen aus den Quellen SecurityWeek (S1), Trending Topics (S2), The Star / Bloomberg (S3) und CoinDesk (S4).

Technische Ursache in der Elements-Codebasis und SideSwap-PAK

Der Diebstahl erfolgte nicht durch den Diebstahl privater Schlüssel, sondern durch einen Bug in der Elements-Software, die die Basis von Liquid bildet. Der Fehler betraf den Konsens- bzw. Rangeproof-Cache und ermöglichte das Erzeugen ungedeckter L-BTC, die anschließend über den Peg-out-Authorization-Key (PAK) von SideSwap ausgegeben wurden.

  • Kein kompromittierter Private Key (0 %)
  • Keine betroffenen Fremd-Assets (USDT, DePix, RWAs blieben unverändert)
  • Der PAK selbst war nicht gestohlen; die Transaktion wurde dank des Bugs als valide akzeptiert

Durch den Bug konnten die Angreifer die 11-von-15-Multisignatur-Validierung der Federation umgehen, was die technische Unschärfe bei der Validierung von Transaktionen aufdeckte.

On-Chain-Kommunikation und Kritik am "White-Hat"-Status

Die Angreifer kontaktierten die Community über das OPRETURN-Feld einer Bitcoin-Transaktion mit der Nachricht "we are whitehats. contact us on chain" und forderten, dass alle Nodes gepatcht werden, bevor Vermögenswerte zurücküberwiesen werden. Branchenexperten, darunter Charles Guillemet (CTO von Ledger), kritisierten das Vorgehen scharf und bezeichneten das eigenmächtige Einbehalten von 15 % der Beute als Erpressung.

  • Finder's Fee: 15 % (598,5 BTC) der ursprünglich entwendeten 4.000 BTC
  • White-Hat-Selbstbezeichnung wird von Sicherheitsforschern als problematisch angesehen
  • Diskussion über verantwortungsvolle Offenlegung ohne Drainage von Kundengeldern

Die Kontroverse verdeutlicht, dass unilaterale Kopfgeldforderungen das Vertrauen in föderierte Bridge-Architekturen stark beschädigen können.

Risiken von Sidechain-Bridges und zentrale Federation

Der Vorfall zeigt, dass ein einzelner Softwarefehler das gesamte Netzwerk lahmlegen kann. Um das Netzwerk zu stoppen, mussten sämtliche Nodes und die Bridge-Verbindung eingefroren werden - ein Hinweis auf das zentrale Risiko, das wenige Betreiberunternehmen (Blockstream, SideSwap) für das gesamte Liquid-Ökosystem darstellen.

  • Fast vollständige Entleerung der Bitcoin-Deckung von L-BTC (Existenzrisiko für den Peg)
  • Zentralisierungsrisiko: Netzwerkstillstand durch Node-Stopp und Bridge-Abschaltung
  • Offene Deckungslücke: Die verbleibenden 598,5 BTC sind noch nicht ersetzt oder kompensiert

FAQ zum Liquid-Hack

  • Waren normale Bitcoin-Bestände auf der Bitcoin-Blockchain direkt betroffen? Nein, der Vorfall betraf ausschließlich das Federation-Wallet der Liquid-Sidechain. Native Bitcoin auf der Basisschicht blieben unberührt.
  • Wie konnten die Angreifer trotz 15 Federation-Signataren echtes Bitcoin abziehen? Ein Softwarefehler in Elements erzeugte technisch valide, aber ungedeckte L-BTC-Guthaben. Der reguläre Peg-out-Prozess von SideSwap akzeptierte die Transaktion als legitim.
  • Haben die Hacker die verbliebenen knapp 600 BTC legal als Bug-Bounty erhalten? Nein, es gab keine vorher vereinbarte Bug-Bounty in dieser Höhe. Die 598,5 BTC wurden eigenmächtig als "Finder's Fee" einbehalten.

Fazit

Der Liquid-Network-Hack von 2026 ist ein Lehrbeispiel für die Verwundbarkeit von Sidechain-Bridges. Ein einziger Bug in der Elements-Codebasis ermöglichte die fast vollständige Entleerung der Bitcoin-Reserve, während die Debatte um die ethische Einstufung der Angreifer die Branche spaltet. Die Rückzahlung von 3.400 BTC mindert den Schaden, lässt jedoch eine bedeutende Deckungslücke und ein Vertrauensdefizit zurück. Für die Zukunft bedeutet dies, dass Entwickler, Betreiber und Sicherheitsforscher gemeinsam robuste Offenlegungsprozesse etablieren und zentrale Abhängigkeiten in föderierten Systemen reduzieren müssen, um ähnliche Vorfälle zu verhindern.