4.000 BTC aus dem Nichts: Der Liquid-Exploit und die Grenze zwischen Sidechain und Bitcoin
Am 6. September 2026 erzeugte ein Angreifer auf dem Liquid Network rund 4.000 ungedeckte L-BTC und zahlte sie über den regulären Peg-out als echte Bitcoin aus. Was der Fall über Chain-Grenzen lehrt und warum die Spur auf der Bitcoin-Seite bei der Federation beginnt.
Sidechains versprechen das Beste aus zwei Welten: schnelle, vertrauliche Transaktionen auf einer eigenen Chain, abgesichert durch echte Bitcoin in einer Reserve. Das Liquid Network von Blockstream ist die älteste und größte dieser Sidechains. Am 6. September 2026 wurde genau diese Konstruktion zum Einfallstor.
Der Ablauf
Um 15:53 UTC, in Liquid-Block 4.050.336, nutzte ein Angreifer eine Schwachstelle in der Open-Source-Software Elements, auf der Liquid-Knoten laufen. Liquid verwendet Confidential Transactions: Beträge sind verschlüsselt, ein sogenannter Range Proof belegt, dass kein Geld aus dem Nichts entsteht. Die Knoten speichern geprüfte Range Proofs in einem Cache. Der Schlüssel dieses Caches war mehrdeutig kodiert, sodass zwei unterschiedliche Prüfeingaben auf denselben Cache-Eintrag zeigen konnten.
Der Angreifer bereitete den Cache mit gültigen Vorbereitungs-Transaktionen vor und reichte dann eine Transaktion ein, deren ungültiger Beweis als bereits geprüft galt. Ergebnis: rund 4.000 L-BTC, für die keine Bitcoin in der Reserve lagen.
Der zweite Schritt war der eigentlich bemerkenswerte. Die ungedeckten L-BTC wurden nicht etwa über Umwege verkauft, sondern über den regulären Peg-out eingelöst. Liquid erlaubt Auszahlungen nur an Adressen, die ein Federation-Mitglied mit einem Peg-out-Autorisierungsschlüssel freigegeben hat. Der Angreifer nutzte den Dienst SideSwap, ein solches Federation-Mitglied. Die Funktionäre der Federation verarbeiteten die Auszahlung als autorisiert, rund 4.000 BTC verließen die Peg-Wallet an die Whitelist-Adresse von SideSwap, von dort gingen sie an die vom Angreifer angegebene Adresse.
Am 7. September um 16:09 UTC gab der Angreifer 3.400 BTC an die Peg-Wallet der Federation zurück. Etwa 598 BTC, rund 15 Prozent, blieben ausstehend. Blockstream stellte die Blockproduktion zeitweise ein und veröffentlichte ein Notfall-Release von Elements.
Warum der Fall forensisch lehrreich ist
Die Chain-Grenze ist eine Beweisgrenze. Auf der Bitcoin-Blockchain ist von dem Exploit nichts zu sehen. Dort gibt es nur eine große, formal korrekte Auszahlung aus der Liquid-Peg-Wallet an eine Federation-Adresse und von dort weiter. Wer nur Bitcoin betrachtet, hält diese Transaktion für eine gewöhnliche Peg-out-Auszahlung. Erst der Blick auf die Liquid-Seite zeigt, dass die eingelösten L-BTC nie gedeckt waren.
Peg-in und Peg-out sind Vault-Übergänge. Methodisch ist das für uns dasselbe Problem wie bei THORChain oder Chainflip: Es gibt bekannte, öffentliche Adressen, an denen Werte die Chain wechseln, und es gibt eine zeitliche Korrelation zwischen Eingang auf der einen und Ausgang auf der anderen Seite. Wir führen deshalb die Peg-Wallet der Liquid Federation, die Peg-out-Adresse des beteiligten Federation-Mitglieds und die Adresse des Angreifers als getrennte Entitäten. Eine Auszahlung aus der Peg-Wallet ist zunächst neutral, denn der ganz überwiegende Teil der Peg-outs ist legitim. Erst die Zuordnung zu einem konkreten Liquid-Vorgang entscheidet, ob eine Auszahlung Erlös eines Exploits ist.
Die Rückgabe trennt die Spur in zwei Teile. Die 3.400 zurückgegebenen BTC sind forensisch erledigt. Die 598 ausstehenden BTC sind der Teil, der weiter beobachtet wird. Für Börsen ist entscheidend, dass die Kennzeichnung des Angreifer-Clusters nicht auf die gesamte ursprüngliche Auszahlung angewendet wird, sondern nur auf die nach der Rückgabe verbliebenen Outputs. Sonst wird die Federation selbst, die ihr Geld zurückbekommen hat, zum Treffer.
Was bleibt
Der Liquid-Exploit war kein Angriff auf Bitcoin, aber einer auf das Versprechen, dass eine Sidechain ihre Reserve nie überzieht. Für Ermittler ist die Lehre dieselbe wie bei jedem Cross-Chain-Fall: Die Spur verschwindet nicht an der Chain-Grenze, sie wechselt nur die Datenquelle. Wie wir Vault-Übergänge erkennen und mit Konfidenz bewerten, haben wir am Beispiel THORChain hier beschrieben.