$320 millioner Liquid Network Hack: Hva et Federated Sidechain-brudd betyr for Exchange Custody-arkitektur

6. september 2026 trakk angripere omtrent 4,000 BTC (rundt 320 millioner dollar) ut av Bitcoins mest konservativt konstruerte oppbevaringssystemer. Utnytterne verken knekket en signatur eller stjal noen nøkkel. De overbeviste systemets valideringslogikk om at noe falskt var ekte, og forbundets egen uttaksprosess gjorde resten på 36 minutter.

For å forstå hva dette betyr for fremtiden til sikkerhet for digitale eiendeler, må vi se på hvordan Liquid Network-utnyttelsen utfoldet seg, og hva det avslører om utformingen av exchange custody-arkitektur for 2027.

Hva som faktisk skjedde: Liquid Networks hack-sekvens på 320 millioner dollar

Liquid Network er Blockstreams Bitcoin-sidekjede, sikret av en 11-av-15 føderasjonsmultisignatur. Den krever 11 av 15 godkjente signatører før bitcoin kan kobles ut eller tas ut til Bitcoin-hovedkjeden, med en PEG-OUT-Authorization Key (PAK)-hvitliste som begrenser hvor midler kan gå. Det er et genuint sterkt design, og ifølge Blockstreams egen beretning feilet ingenting av det. 

1. Sårbarheten (Elements-programvarefeil) 

Angripere oppdaget en rekkeviddesikker verifiseringsbufferfeil i Elements, den underliggende programvaren som driver Liquid Network. Feilen tillot at en ugyldig transaksjonsutdata omgikk sjekker som om den allerede var verifisert.

2. The Mint (Lager usikret L-BTC)

Ved å utnytte cache-feilen, laget angriperne syntetisk, usikret L-BTC uten å levere den nødvendige Bitcoin-sikkerheten.

3. Uttrekkingen (Peg-out via SideSwap) 

De falske tokenene ble rutet gjennom SideSwap for å utløse føderasjonens offisielle peg-out-mekanisme. Fordi transaksjonen oppfylte alle sikkerhetsregler på høyt nivå, godkjente multisignaturen med 11 av 15 uttak, og konverterte falske tokener til ekte BTC på hovedkjeden på 36 minutter.

4. Forhandling og viktig integritet 

Angriperne etterlot en melding på kjeden der de identifiserte seg som whitehats og åpnet kryptert kommunikasjon med Blockstream. Blockstream bekreftet at ingen private signeringsnøkler var kompromittert.

5. Gjenoppretting og nåværende status

1. • 7 september: Angriperne returnerte ~3,400 BTC (85 % av de stjålne midlene, verdsatt til 260M–272 millioner).
   • Gjenværende midler: Omtrent 598.5 BTC ($47 millioner) gjenstår hos angriperne.
   • Nettverksstatus: Fra og med 10. september har blokkproduksjonen gjenopptatt, men peg-in/peg-out-operasjoner er fortsatt satt på pause under restaureringen av tilstanden. 

Etter Liquid Network-utnyttelsen i september 2026 uttalte Blockstream-sjef Adam Back at «LBTC: BTC 1:1-koblingen» ville bli dekket, og rådet innehaverne til ikke å selge L-BTC over disk med rabatt. 

Hva er Exchange Custody-arkitektur?

Exchange custody-arkitekturen er hele systemet som holder kundenes eiendeler trygge og flyttbare. Den består av tre forskjellige lag, ikke to:

1. Nøkkelhåndteringslag: Bestemmer seg hvem kan signere en transaksjon (f.eks. varme lommebøker, kald lagring, flerpartsberegning eller multisignatur. 
2. Autorisasjonslag: Bestemmer seg hvilke signerte transaksjoner som har lov til å utføre basert på regler og retningslinjer (f.eks. Liquids hviteliste for Peg-out-autorisasjonsnøkler).
3. Valideringslag: Den underliggende programvarelogikken som bekrefter om eiendelene som flyttes er reelle og fullt ut sikrede. 

De fleste samtaler om sikkerhet på kryptobørser fokuserer på de to første. Liquid Network-hacket skjedde i den tredje.

Lærdommen: Nøkkelhåndtering kan ikke beskytte en ugyldig tilstand

Liquids hvitelister for føderasjonsmultisignatur og PAK er nettopp den typen kontroller en sikkerhetsgjennomgang for bedrifter godkjenner. Likevel skjedde bruddet på laget under dem, i applikasjonslogikken som er ansvarlig for saldovalidering, tilstandsverifisering og idempotenskontroller av mellomlagringslagene. Dette programvarelaget, i tilfelle Liquid Network-hacket, antok allerede at transaksjonen var gyldig uten å faktisk bekrefte den. 

Dette avslører en kritisk feil i moderne kryptobørsarkitektur som de fleste av nøkkelhåndteringsrevisjonene dine ikke vil berøre:

Alle større nøkkeloppbevaringsmodeller, enten det er føderert multisignatur, MPC eller varm/kald segregering, løser hvem som kan autorisere et uttak, ikke hva som blir autorisert.

For sidekjede- og kryptobørsbyggere er ikke konklusjonen å «legge til flere signaturer». En signeringsterskel (enten 11 av 15 eller 3 av 4 MPC) garanterer bare at nok autoriserte enheter har signert. Hvis den underliggende programvaren feilvaliderer tokenforsyning eller hurtigbufferlogikk, vil signatørene dine trofast godkjenne en transaksjon som er bygget på en løgn.

Den faktiske lærdommen for de som planlegger utvikling av kryptobørser er: 

Validering og tilstandslogikk krever samme fiendtlige isolasjon og nulltillitsforutsetninger som dine private nøkler.  

En praktisk revisjonssjekkliste for kryptobørser og sidekjedebyggere

Team som bygger eller driver infrastruktur for kryptobørser med flere aktiva , spesielt alt som bygger bro til en sidekjede-, L2- eller føderert modell, må evaluere disse fem avgjørende spørsmålene sammen med standard nøkkelforvaringsvurderinger:

• Uavhengige sikkerhetsspor: Blir validering og konsensuslogikk gjennomgått på et eget dedikert sikkerhetsspor, fullstendig isolert fra revisjoner av nøkkelforvaring?
• Ugyldige tilstandsantagelser: Blir antagelser om mellomlagring og idempotens i uttaksstikode eksplisitt stresstestet for scenarier der en ugyldig tilstand er merket som allerede bekreftet?
• Autonome effektbrytere: Finnes det automatiserte grenser for uttaksbanen eller sikringsbrytere som utløses ved anomalt volum, uavhengig av signeringsterskler?
• Hendelsesrespons på valideringslag: Dekker hendelseshåndteringshåndboken din spesifikt et kompromiss på valideringslaget, eller forbereder den bare for viktige kompromissscenarioer?
• Synkronisert gjennomgangskadens: Blir gjennomgangskadensen for utførelsesprogramvaren for tilstandsvalideringslogikken din utført like ofte som revisjonene for signeringsinfrastrukturen din?

Hva betyr dette for regulerte plattformer og investorer?

Revisorer og regulatorer som evaluerer børsoppbevaring i dag stiller detaljerte spørsmål om nøkkelhåndtering, hovedsakelig med fokus på: 

• kjølelagringsforhold
• terskler for underskrivere
• HSM-bruk. 

Langt færre ber om bevis på kontradiktorisk vurdering av validering og spesifikt konsensuslogikk.

Det var nettopp dette gapet i revisjonen av forvaringssystemer der denne utnyttelsen oppsto. Etter hvert som forvaringsarkitekturen utvikler seg etter 2026, må regulerte fintech-selskaper, kryptoplattformer og institusjonelle arenaer lukke dette gapet proaktivt, før det blir et due diligence-funn eller en regulatorisk oppfølging etter hendelsen.

Konklusjon

Liquid Network-hacket er en påminnelse på 320 millioner dollar om at arkitektur for oppbevaring av børser er mye større enn nøkkelhåndtering.

Hos Antier bygger vi kryptobørs- og oppbevaringsinfrastruktur med validering og konsensuslogikk behandlet som en primær sikkerhetsoverflate, ikke en antagelse arvet fra signeringslaget. Hvis du bygger, oppgraderer eller reviderer kryptobørsoppbevaringsarkitektur, ta kontakt med Antier for en bygging, integrasjon eller gjennomgang som dekker alle tre kritiske lag.