Liquid Network buzildi: saydcheyndan 4000 BTC chiqarildi, 3400 tasi qaytarildi

6-sentabrdagi hujum Liquid federatsiyasi hamyonini 320 mln $ ga bo‘shatdi. Buzg‘unchilar o‘zlarini «oq xakerlar» deb atadi va katta qismini qaytardi, ammo taxminan 598 BTC ni o‘zida qoldirdi; Blockstream to‘lashdan bosh tortdi.

Qisqacha: 2026-yil 6-sentabrda noma’lum shaxslar Liquid Network saydcheyni federatsiyasining hamyonidan taxminan 4000 BTC (taxminan 320 mln $) chiqarib yubordi — bu L-BTC tokenining deyarli butun ta’minoti edi. Sabab kalitlarning o‘g‘irlanishi emas, Elements kodidagi xatolik bo‘ldi: u haqiqiy bitkoinlar bilan ta’minlanmagan L-BTC yaratish va ularni shtatdagi yechib olish protsedurasi orqali haqiqiy tangalarga almashtirish imkonini berdi. 8-sentabrda o‘zlarini «oq xakerlar» deb atagan hujumchilar 3400 BTC ni qaytardi va taxminan 598 BTC ni (~47 mln $) o‘zlari belgilagan mukofot sifatida qoldirdi. 11-sentabrda Blockstream to‘lov to‘lamasligini va ishni huquq-tartibot organlariga topshirishini ma’lum qildi.

Hodisalar xronologiyasi

Sana va vaqt (UTC)	Nima sodir bo‘ldi
6-sentabr, 14:05	Taxminan 4000 L-BTC SideSwap xizmati orqali qayta ishlashga yuborildi — tashqi ko‘rinishdan bu odatiy yechib olish (peg-out) arizasiga o‘xshardi
6-sentabr, 14:28:56	Federatsiya hujumchi manziliga taxminan 3996 BTC chiqardi (965 783-blok). Tranzaksiyada 83 ta kirish bor edi, har biri 11-dan-15 multiimzoning 11 ta to‘g‘ri imzosi bilan
6-sentabr, bir necha daqiqadan so‘ng	Onchain tahlilchi ErgoBTC chiquvchi o‘tkazmani ommaviy ravishda qayd etdi
6-sentabr, kun davomida	Liquid federatsiyasi ko‘prik tugunlarini to‘xtatdi, birjalar L-BTC kiritish va yechib olishni to‘xtata boshladi. Noma’lum shaxs onchain xabar qoldirdi: «biz oq xakerlarmiz, tarmoqda biz bilan bog‘laning»
7–8-sentabr	Imzolangan onchain xabarlar orqali muzokaralar; 8-sentabrda 3400 BTC qaytarildi
11-sentabr	Blockstream ommaviy ravishda to‘lov to‘lashdan bosh tortdi va huquq-tartibot organlarini jalb qilish niyatini bildirdi. Hujumchilarda taxminan 598,5 BTC — chiqarilgan summaning qariyb 15 % i qoldi

Texnik jihatdan nima noto‘g‘ri ketdi

Liquid — bu bitkoinning federativ saydcheyni: haqiqiy BTC 15 ishtirokchidan iborat federatsiya tomonidan 11-dan-15 multiimzo sxemasi bo‘yicha boshqariladigan umumiy hamyonda bloklanadi, saydcheynda esa bir-birga ta’minlangan L-BTC tokeni chiqariladi. L-BTC ni BTC ga teskari almashtirish peg-out deb ataladi.

Bu hujumning asosiy tafsiloti: imzolar haqiqiy edi. Tranzaksiyaning barcha 83 ta kirishida roppa-rosa 11 ta yaroqli imzo bor edi — ya’ni federatsiyaning o‘zi chiqimni avtorizatsiya qildi, chunki uning nuqtayi nazaridan ariza qonuniy ko‘rinardi. Blockstream alohida ta’kidlaydiki, peg-out avtorizatsiya kaliti (PAK) va imzolovchilarning boshqa kalitlari kompromentatsiya qilinmagan.

Muammo — dasturiy ta’minot darajasidagi validatsiyada. Liquid Bitcoin Core forki bo‘lgan Elements’da ishlaydi va dastlabki tergov mos kelmaydigan balandlikka ega dynafed sarlavhasini qabul qilish imkonini bergan xatolikka ishora qilmoqda; 1-sentabrdagi kommit aynan shu muammoga tegishli edi. Natija: hujumchi haqiqiy bitkoin kiritmasdan L-BTC ola oldi va ularni shtatdagi protsedura bilan yechib oldi. Liquid.net ommaviy paneli hodisadan keyin chiqarilgan L-BTC ta’minotini 5 % dan past ko‘rsatgan.

Hodisaga Casa xavfsizlik xizmati rahbari Jameson Lopp alohida munosabat bildirdi: u federatsiyaga xizmat qiluvchi komponent — functionary kod bazasi qariyb ikki yil yangilanmaganini, oxirgi kommit 2024-yil 19-aprelga tegishli ekanini ko‘rsatdi.

«Oq xakerlar» yoki yo‘q

Hujumchilar boshidanoq o‘zlarini whitehat tadqiqotchilar sifatida taqdim etdi va zaiflik bartaraf etilgach mablag‘ni qaytarishga tayyorligini bildirdi. Rasman ular haqiqatan ham asosiy qismni — ~4000 BTC dan 3400 tasini qaytardi. Ammo o‘zlariga qoldirgan 598 BTC ni jamoa bilan kelishuvsiz, o‘zlari belgilashdi va aynan shu narsa nizo mavzusiga aylandi.

Blockstream o‘z xabarlarida hujumchilarni «taxmin qilinayotgan oq xakerlar» deb atadi va bu maqomni tasdiqlamadi, 11-sentabrda esa to‘lov mantig‘idan ochiqdan-ochiq voz kechdi. Soha mutaxassislarining bir qismi — jumladan Ledger texnik direktori — whitehat talqinini ommaviy ravishda rad etdi va kross-cheyn ko‘priklarga qilingan o‘tmishdagi hujumlar bilan parallel o‘tkazdi: o‘shanda ham shunga o‘xshash ritorika savdolashish uchun ishlatilgan edi.

Amaliy farq jiddiy: rasmiy bug bounty dasturi mukofot miqdorini oldindan belgilaydi, «fakt bo‘yicha baunti» esa yuridik jihatdan tovlamachilikdan farq qilmaydi.

Hozir tarmoq va foydalanuvchilar puli bilan nima bo‘lmoqda

Liquid yangi tranzaksiyalarni qabul qilishni to‘xtatdi va ko‘prik tugunlarini o‘chirdi; peg-out mavjud emas.
L-BTC ni qo‘llab-quvvatlagan birjalar tokenni kiritish va yechib olishni to‘xtatdi. Qayta tiklash muddatini har bir maydoncha mustaqil belgilaydi.
Liquid tarmog‘ining boshqa aktivlari — USDT, DePix, tokenlashtirilgan real aktivlar — ishlab chiquvchilar bayonotiga ko‘ra, zarar ko‘rmagan.
Bitkoinning bazaviy qatlami jabrlanmadi: bu alohida saydcheyndagi xatolik, BTC protokolidagi emas.

L-BTC egalari uchun hozir faqat bitta oqilona ssenariy mavjud — rasmiy texnik tahlilni (postmortem) va ta’minotni tiklash bo‘yicha federatsiya qarorini kutish. Bunday paytda chatlar va shaxsiy xabarlardagi «L-BTC ni shoshilinch almashtiring» degan har qanday takliflar deyarli aniq firibgarlikdir: zarar ko‘rgan aktivlar egalariga hujumlar an’anaviy tarzda yirik hodisadan keyin darhol to‘lqin bo‘lib keladi.

Bozor reaksiyasi

Bitkoin kursi yangilikka deyarli munosabat bildirmadi: hodisa kunlarida BTC 79,7–80 ming $ atrofida ushlanib turdi, 13-sentabrga kelib esa allaqachon makroiqtisodiy sabablarga ko‘ra 77 ming $ gacha siljidi — bozor 16-sentabrdagi FRS yig‘ilishini kutmoqda. Tafsilotlar — «Bitkoin FRS yig‘ilishi oldidan 77 000 $ atrofida» materialida.

Treyderlar vaziyatni bitkoin uchun tizimli risk emas, aniq bir infratuzilmaning lokal muammosi sifatida qabul qildi — va bu, ehtimol, haftaning asosiy xulosasi: bazaviy aktiv narxi va uning ustidagi ustqurmalarning ishonchliligi alohida hayot kechiradi.

Bundan qanday saboq chiqadi

Multiimzo mantiqiy xatolikdan himoya qilmaydi. 11-dan-15 sxemasi shtatdagidek ishladi — zaiflik bir daraja yuqorida, arizani tekshirishda edi. «Nechta kalit kerak» bilan cheklangan har qanday audit bunday ssenariyda hech narsani ilg‘amaydi.
Tashlab qo‘yilgan kod — alohida risk toifasi. Yuzlab million dollarlik aktivlar turganda ikki yil yangilanmagan komponent — bu «barqarorlik» emas, to‘plangan texnik qarz.
O‘ralgan bitkoin — bu bitkoin emas. L-BTC, WBTC va shunga o‘xshashlar emitent va ko‘prik riskini olib yuradi. Ta’minot bitta tranzaksiyada nolga tushishi mumkin, holbuki foydalanuvchi hamyonidagi BTC ning o‘ziga hech qanday zarar yetmaydi.