Liquid уже 35 дней не возвращает биткоины за L-BTC: в резерве не хватает 602 BTC

Что происходит сейчас

Liquid — сайдчейн биткоина от Blockstream. В нём ходит L-BTC: токен, за каждым из которых в основной сети должен лежать один настоящий биткоин. Положить BTC и получить L-BTC называется peg-in, вернуть биткоин обратно — peg-out. Второе не работает с 6 сентября.

По данным обозревателя Liquid на 11 октября цифры такие:

Сама сеть при этом жива. Переводы L-BTC между адресами внутри Liquid идут с 10 сентября, другие активы сети, включая USDT, по словам Blockstream не пострадали. Закрыт только выход в биткоин, и условие для его открытия команда называет одно: полное покрытие один к одному и законченные проверки безопасности. Даты нет.

Как из резерва вывели 4000 BTC

Blockstream опубликовал разбор 23 сентября, и история в нём неприятная своей обыденностью.

• 2 августа. Исследователь сообщает об ошибке в Elements, программе, на которой работает Liquid. Ошибка жила в коде с 2018 года: кеш проверенных доказательств собирал ключ не из всех нужных данных.
• 1 сентября. Исправление публикуют в открытом репозитории. Вместе с ним становится виден и новый код.
• 6 сентября, 13:53 UTC. В самом исправлении находится вторая ошибка: данные для ключа кеша склеивались без указания длины, и два разных набора могли дать одну и ту же строку. Сеть принимает недействительную транзакцию и выпускает около 4000 L-BTC, за которыми ничего не стоит.
• 6 сентября, 14:28 UTC. Через 35 минут федерация подписывает обычный вывод, и 3 996,02 BTC уходят из резерва. В нём остаётся 197 BTC из примерно 4 205.
• 6 сентября, 18:26 UTC. Сеть останавливают.

То есть взломали не ключи и не людей. Участники федерации честно подписали вывод, потому что сайдчейн сказал им, что всё в порядке.

В разборе есть деталь, которую Blockstream отдельно ставит в вину процессу. По правилам сети кошелёк, принимающий выводы, должен быть отключён от интернета. У сервиса SideSwap ключ для выводов был в сети и пересылал выплаты автоматически, и сам сервис это признал. Будь там ручная проверка с задержкой, биткоины, по оценке Blockstream, успели бы остановить.

Почему 3400 BTC вернулись, а 600 нет

Взломщики оставили в блокчейне сообщение: «мы белые хакеры, свяжитесь с нами». 7 сентября, после того как узлы обновили, они вернули федерации 3400 BTC. Это около 85% выведенного.

Остальное, примерно 598,5 BTC, по данным аналитиков TRM Labs всё ещё у них. В TRM отмечают, что слова о «белых хакерах» никто не подтвердил, а остаток взломщики, похоже, считают своим вознаграждением. Blockstream 11 сентября ответил коротко: выкуп за украденное платить не будет, работает с полицией, биржами и криминалистами.

Отсюда и дыра в резерве. Пока эти 600 BTC не вернутся или их кто-то не возместит, каждому L-BTC соответствует 0,858 биткоина, а не один.

Что это значит для держателей L-BTC

Если у вас есть L-BTC, сейчас с ним можно сделать немного:

• переслать на другой адрес внутри Liquid — можно;
• обменять на биткоин через федерацию — нельзя, срока нет;
• продать на бирже — зависит от биржи: Blockstream сам просил площадки приостановить ввод и вывод L-BTC.

Торопиться с продажей с большой скидкой смысла мало: команда не говорила, что убыток разложат на держателей. Но и обещания закрыть разрыв из своих денег тоже не было. Честный ответ на вопрос «когда» сейчас — неизвестно.

Этот случай хорошо показывает разницу между монетой и распиской на монету. Биткоин в вашем кошельке не зависит от чужого резерва. L-BTC, как и любой обёрнутый токен, стоит ровно столько, сколько лежит в хранилище, и работает, пока хранилище открыто. Поэтому для переноса денег между сетями всё чаще выбирают не мост, а обычный обмен: отдали монету в одной сети, получили настоящую монету в другой. Так работает любой обменник криптовалют, и разницу мы подробно разобрали в гайде мост или обмен.

Чему учит история с Liquid

Три вывода пригодятся и тем, у кого L-BTC никогда не было.

Первый. Большинство крупных краж последних лет случились не в самих блокчейнах, а на стыках между ними: в мостах, сайдчейнах, хранилищах обёрнутых токенов. Сентябрь не стал исключением, итоги месяца мы собирали в обзоре взломов на $766 млн.

Второй. Исправление ошибки тоже может быть ошибкой. Между публикацией патча и атакой прошло пять дней: код стал открытым, и его прочитали не только друзья.

Третий. Некастодиальность касается ключей, а не резерва. Ключи от L-BTC были у владельцев всё это время, и это им никак не помогло. Чем кастодиальный кошелёк отличается от некастодиального и где проходит граница вашего контроля, мы объясняли отдельно.

Как обменять биткоин без регистрации и без обёрнутых токенов

В VertEXchange вы меняете одну настоящую монету на другую: без мостов и без токенов-расписок. Аккаунт, почта и телефон не нужны. Вы выбираете пару, указываете адрес своего кошелька и до отправки видите курс и сумму, которая придёт. Монеты уходят сразу на ваш адрес: VertEXchange их не хранит.

• Фиксированный курс держится около 15 минут, пока подтверждается перевод.
• Можно указать адрес возврата: туда монеты вернутся, если обмен не состоится.
• Персональные поля операции удаляются через 24 часа после завершения.
• Чат поддержки есть на каждой странице, вопрос решают по коду обмена.

Если нужен биткоин в основной сети, проще всего купить биткоин за USDT TRC20 прямо на свой адрес. В обратную сторону можно обменять биткоин на эфир, а тем, кому важна приватность, подойдёт пара BTC на Monero без регистрации.

Частые вопросы

Что такое L-BTC?

Токен сайдчейна Liquid, привязанный к биткоину один к одному. За каждый L-BTC федерация сети должна держать один BTC в основной сети.

Почему L-BTC нельзя обменять на биткоин?

После атаки 6 сентября 2026 года в резерве федерации не хватает около 602,5 BTC. Liquid откроет погашение, только когда резерв снова покроет все токены и закончатся проверки безопасности.

Сколько биткоинов украли из Liquid?

Из резерва вывели 3 996,02 BTC. На следующий день взломщики вернули 3400 BTC, около 598,5 BTC остаются у них.

Кто взломал Liquid?

Неизвестно. Взломщики назвали себя белыми хакерами в сообщении в блокчейне, но подтверждений этому нет.

Пострадал ли USDT в сети Liquid?

По словам Blockstream, нет. Ошибка позволила выпустить необеспеченные L-BTC, другие активы сети она не затронула.

Когда Liquid возобновит вывод биткоинов?

Даты нет. Условия названы два: полное покрытие L-BTC биткоинами и завершённый внешний аудит исправленной версии Elements.