Ein Hacker hat gerade eine Bitcoin-Sidechain aufgefordert, ihren eigenen Fehler zu beheben, bevor er das Geld zurückgibt.

Irgendwann nach 14:00 Uhr UTC am 6. September 2026 entnahm jemand unbemerkt 3.996 BTC aus dem Federation-Wallet des Liquid-Netzwerks von Blockstream. Zu diesem Zeitpunkt entsprach dies einem Wert von rund 320 Millionen US-Dollar. Vor der Transaktion befanden sich etwa 4.200 BTC in der Wallet. Danach waren es noch rund 207. Fünfundneunzig Prozent der Reserve, die den L-BTC-Token von Liquid absicherte, waren mit einer einzigen Überweisung einfach verschwunden, und niemand bei Blockstream hatte dies kommen sehen.

Liquid bestätigte den Vorfall innerhalb weniger Stunden auf X: Blockstream teilte mit, man sei sich eines Sicherheitsvorfalls bewusst und arbeite daran, die Beteiligten in der Blockchain mit einer signierten Nachricht zu kontaktieren, wobei die Entnahme als Werk „angeblicher White-Hat-Hacker“ beschrieben wurde. Das Netzwerk stoppte neue Transaktionen, deaktivierte seine Bridge-Knoten und forderte Börsen auf, L-BTC-Ein- und Auszahlungen einzufrieren, während es klärte, was geschehen war. „Liquid-Wallets sind davon betroffen, und wir entschuldigen uns für etwaige Unannehmlichkeiten“, hieß es in dem Beitrag – eine seltsame Formulierung, nachdem über ein Wochenende ein neunstelliger Betrag in Bitcoin verloren gegangen war.

Was diesen Fall ungewöhnlich macht, ist nicht die Höhe des Verlusts, obwohl 320 Millionen Dollar ihn an die Spitze der diesjährigen Hack-Liste rücken. Es ist das, was nicht passiert ist. Es wurden keine privaten Schlüssel gestohlen. Kein Mitglied der Föderation wurde Opfer eines Phishing-Angriffs. Liquid erklärte ausdrücklich, dass der „SideSwap Peg-out Authorization Key “, der zur Überweisung der Gelder verwendet wurde , „nicht kompromittiert wurde, ebenso wenig wie andere“. SideSwap bestätigte dies und erklärte, die Transaktion sei als normaler Kundenauftrag durchgegangen – vollständig signiert, vollständig autorisiert – und es habe für die Systeme keine Möglichkeit gegeben, festzustellen, dass das dahinterstehende L-BTC gar nicht hätte existieren dürfen.

Das ist der eigentliche Fehler. Jemand fand eine Schwachstelle in „Elements“, der Open-Source-Software, auf der Liquid basiert, die es ermöglichte, L-BTC zu prägen, die nicht durch echte Bitcoin gedeckt waren. Der On-Chain-Analyst „mononaut“ schätzte, dass nach dem Abzug jedes im Umlauf befindliche LBTC nur noch durch etwa 4,7% eines tatsächlichen Bitcoin gedeckt war. Der Bitcoin-Core-Mitentwickler Antoine Poinsot, der unter dem Pseudonym „darosior“ Beiträge verfasst, bemerkte, dass noch etwas anderes nicht stimmte: Ein Liquid-Block, den Blockstreams eigener Explorer akzeptierte, tauchte auf mempool.space überhaupt nicht auf – ein kleines technisches Detail, das darauf hindeutete, wie tief die Schwachstelle in die Konsenslogik reichte. Die Forscher führten den Fehler schließlich darauf zurück, wie vertrauliche Transaktionen bei Liquid validiert und zwischengespeichert werden – ein Inflationsfehler, keine Geschichte über gestohlene Schlüssel.

Dann kam der Teil, der dies zu einer der seltsamsten Pattsituationen in der Geschichte der Kryptosicherheit macht. Die Person oder Personen, die die Gelder hielten, begannen, Nachrichten an Blockstream zurückzusenden, die direkt in Bitcoin-Transaktionen eingebettet waren – einige über OP_RETURN, andere Berichten zufolge PGP-verschlüsselt. Eine lautete sinngemäß: Behebt zuerst den Fehler, stellt sicher, dass jeder Knoten gepatcht ist, und erst dann werden die Gelder zurücküberwiesen. Blockstream unter der Leitung von Adam Back antwortete in gleicher Weise. Laut Berichten von „The Block“ sandte das Unternehmen, sobald der Fix live war, eine eigene signierte Nachricht: „Die Bridge-Knoten sind gepatcht, die Gelder können sicher zurücküberwiesen werden.“ Zum Zeitpunkt der Abfassung dieses Artikels befand sich das Bitcoin noch immer in der Wallet des Angreifers.

Alex Thorn, Forschungsleiter bei Galaxy Digital, erklärte, die Hacker seien noch einen Schritt weiter gegangen und hätten Blockstream verschlüsselte technische Berichte geschickt, um bei der Eingrenzung der Sicherheitslücke zu helfen. Sollte sich das bestätigen, handelt es sich um eine wirklich seltsame Anreizstruktur: Ein Exploit im Wert von 320 Millionen Dollar, der bislang als unbezahlte und ziemlich aggressive Bug-Bounty-Aktion fungiert. Ob das so bleibt, ist derzeit die einzige Frage, die zählt – und niemand außer dem Besitzer dieser Wallet kennt die Antwort darauf. Jede große „White-Hat“-Behauptung in dieser Branche wird in dem Moment auf die Probe gestellt, in dem die Frist für die Rückgabe der Gelder tatsächlich abläuft.

Für alle anderen ist der unmittelbare Schaden eher alltäglicher Natur. Die übrigen Vermögenswerte von Liquid, darunter USDT, DePix und verschiedene tokenisierte reale Vermögenswerte im Netzwerk, blieben Berichten zufolge unberührt, da der Fehler spezifisch für die Verarbeitung vertraulicher Transaktionen von L-BTC war und nicht die Sidechain als Ganzes betraf. Dennoch hat die Föderation das gesamte Netzwerk vorübergehend stillgelegt, und Börsen, die ihre Abwicklung über Liquid abwickeln, mussten den Handel mit LBTC aussetzen, während die Knotenbetreiber der Föderation die entsprechenden Patches einspielen. Liquid läuft seit 2018 als föderierte Bitcoin-Sidechain, die von mehr als 80 Börsen und Infrastrukturunternehmen überwacht wird, und dies ist die Art von Vorfall, auf die in jeder zukünftigen Argumentation für oder gegen föderierte Bridge-Designs verwiesen werden dürfte.

Hier zeigt sich auch ein allgemeineres Muster, das angesichts der Einzelheiten eines einzelnen Vorfalls leicht aus den Augen verloren wird. Allein dieser Exploit ließ die Gesamtsumme der Krypto-Hacks in dieser Woche auf über 320 Millionen Dollar steigen, und weitere, kleinere Verluste – darunter ein Exploit im Treuhandkonto von Notional Finance in Höhe von rund 1,7 Millionen Dollar, auf den Sicherheitsüberwacher separat hingewiesen hatten – trugen zu dieser Zahl bei. Sidechains und Bridges sind nach wie vor der Ort, an dem das Geld abfließt – nicht, weil die Bitcoin-Basisschicht schwach ist, sondern weil alles, was daneben aufgebaut wird, die Fehler übernimmt, die in der eigenen Software vorhanden sind.

Blockstream hat noch nicht mitgeteilt, wann Liquid den Betrieb wieder vollständig aufnehmen wird, und hat weder die Identität des Angreifers bestätigt noch klargestellt, ob „White Hat“ die richtige Bezeichnung für jemanden ist, der fast die gesamte Reserve des Netzwerks entwendet hat, bevor er sich zu Gesprächen bereit erklärte. Im Moment handelt es sich um eine Bitcoin-Sidechain, die auf ein Versprechen wartet – festgehalten in Blockchain-Nachrichten –, das von derselben Person stammt, die gerade erst bewiesen hat, dass dieses Versprechen überhaupt notwendig war.