Liquid Network -hyökkääjä vaatii lunnaiksi kymmenesosan jäljellä olevista bitcoineista
- Hyökkääjä vaatii lunnaiksi kymmenesosaa jäljellä olevista noin 600 bitcoinista ja uhkaa muuten aiheuttaa haltijoille 15 prosentin tappion.
- Ledgerin teknologiajohtaja Charles Guillemet katsoo, että jäljellä olevien bitcoinien pidättäminen muistuttaa kiristystä.
- Galaxy Digitalin Alex Thorn sanoo, ettei Liquidin PAK-lista eli sallittujen osoitteiden lista koskaan sitonut hyökkääjää.
- Liquid-federaation vahtisolmut aloittivat torstaina lohkojen allekirjoittamisen uudelleen, mutta siirrot pysyvät jäädytettyinä.
Ledgerin teknologiajohtaja kutsuu vaatimusta kiristykseksi, kun taas Liquid-verkon lohkojen tuotanto on käynnistynyt uudelleen ilman siirtoja.
"Harhaluuloinen, ahne ja ylimielinen", hyökkääjä kirjoitti viestissään Blockstreamille.
Liquid-sivuketjun kimppuun käynyt taho on hylännyt aiemman valkohattutarinansa ja vaatii nyt avoimesti kymmenen prosentin lunnaita jäljellä olevista bitcoineista. Hyökkääjä hyödynsi Blockstreamin Elements-ohjelmiston rangeproof-välimuistivirhettä 6. syyskuuta kello 15.53 UTC lohkossa 4 050 336 ja loi noin 4 000 katteetonta L-BTC:tä, arvoltaan tuolloin noin 319 miljoonaa dollaria. Varat ohjattiin ulos SideSwap-pörssin peg-out-mekanismin kautta.
Alkuun sävy oli toinen. Hyökkääjä lupasi salatuissa, lohkoketjuun upotetuissa viesteissä palauttaa varat heti, kun Blockstream olisi korjannut haavoittuvuuden.
– Korjatkaa vika ensin. Varmistakaa, että jokainen solmu on päivitetty. Sitten siirrämme rahat turvallisesti takaisin, kun korjaus on vahvistettu, viesti kuului tuolloin.
Blockstream julkaisi hätäkorjauksen, Elements-version 23.3.4, noin kaksi vuorokautta hyökkäyksen jälkeen. Maanantaina hyökkääjä palautti federaation lompakkoon noin 3 400 bitcoinia, nykyarvoltaan noin 268 miljoonaa dollaria, ja piti itsellään noin 600 bitcoinia eli runsaat 47 miljoonaa dollaria.
Sen jälkeen viestintä muuttui. Hyökkääjä alkoi kirjoittaa viestinsä salaamattomina ja syytti Blockstreamia laiminlyönnistä.
– Laiminlyöntinne on ilmeinen, sillä varasitte viiden miljardin dollarin omaisuuden suojaamiseen vain 1,5 miljoonaa dollaria, ehkä ette mitään, hyökkääjä kirjoitti.
Vaatimus oli suora: Blockstreamin on maksettava kymmenen prosenttia jäljellä olevasta summasta hyökkääjälle ikään kuin haavoittuvuuspalkkiona, tai yhtiön L-BTC-haltijat kärsivät hyökkääjän mukaan 15 prosentin tappion.
Charles Guillemet, kryptolompakkoyhtiö Ledgerin teknologiajohtaja, ei niele enää valkohattuselitystä.
– Niin sanotut valkohatut pitävät yhä hallussaan 600 bitcoinia. Jos tämä ylipäätään oli neuvoteltu palkkio, joka perustui salattuun, lohkoketjussa allekirjoitettuun sopimukseen, se muistuttaa enemmän kiristystä kuin valkohattuhakkerointia, Guillemet kirjoitti.
Tapaus nostaa esiin myös kysymyksen siitä, mitä Liquidin turvamekanismit oikeasti estivät. Alex Thorn, Galaxy Digitalin tutkimusjohtaja, sanoi Unchained-podcastin Uneasy Money -jaksossa, ettei sivuketjun sallittujen osoitteiden lista koskaan sitonut hyökkääjää.
– SideSwap salli käytännössä kenen tahansa esittää minkä tahansa osoitteen ja nostaa varoja Liquidista, minkä jälkeen palvelu välitti ne automaattisesti eteenpäin, Thorn sanoi. Hän kutsui menettelyä keinoksi kiertää sallittujen osoitteiden listan ja myönsi, ettei tiedä, miksi se sallittiin.
Mitä PAK-lista tarkoittaa
Peg-out Authorization Key -lista määrittää, mihin bitcoin-osoitteisiin L-BTC voidaan lunastaa takaisin Liquid-sivuketjusta. Sen piti estää varojen ohjaaminen hyökkääjän osoitteeseen, vaikka federaation solmut murrettaisiin. SideSwap kuitenkin välitti nostot eteenpäin tarkistamatta osoitteita listalta.
Liquid-federaation vahtisolmuille eli toimijasolmuille toimitettiin tarvittavat ohjelmistopäivitykset torstaina, ja verkko ilmoitti tilanteesta itse seuraavasti. Peg-out-nostot sekä PAK-valtuutetut nostot pysyvät kuitenkin jäädytettyinä, kunnes ylläpitäjät ovat vahvistaneet järjestelmän vakautuneen.
Toimijasolmut ovat vastaanottaneet tarvittavat päivitykset ja pystyvät jälleen allekirjoittamaan ja varmentamaan lohkoja. Verkko toimii kuitenkin edelleen ilman siirtoja, kunnes tilanne on vahvistettu vakaaksi.
– Liquid (@Liquid_BTC) September 10, 2026
Blockstream ei ole kommentoinut kymmenen prosentin vaatimusta julkisesti muuten kuin lyhyellä lausunnolla.
– Keskustelut Blockstreamin ja vastuussa olevien henkilöiden välillä jatkuvat, jotta jäljellä olevat varat saadaan palautettua, yhtiö totesi.
