4.000 BTC aus dem Liquid Network abgeflossen: Was Unternehmen wissen müssen

An einem Sonntagnachmittag im September 2026 verließen rund 4.000 BTC im Wert von etwa 320 Millionen US-Dollar in einer einzigen Transaktion die Föderations-Wallet des Blockstream Liquid Network. Der Angreifer nutzte eine scheinbar routinemäßige Peg-Out-Anfrage, die von 11 der 15 kryptografischen Signaturen der Föderation unterstützt wurde, um Bitcoin einzulösen, das niemals hätte eingelöst werden dürfen. Bis Montagmorgen befanden sich noch fast 3.998 BTC auf der Adresse des Angreifers, begleitet von einer On-Chain-Nachricht, die Whitehat-Absichten behauptete. Für Wirtschaftsprüfungsgesellschaften, CFOs und Prüfer mit jeglicher Exposition gegenüber Liquid Bitcoin (LBTC) oder Sidechain-gewrappten Vermögenswerten ist der Vorfall eine Live-Fallstudie dafür, was passiert, wenn der Buchungssatz „BTC-Äquivalent“ sagt, aber die zugrunde liegende Peg leise bricht.

Was tatsächlich geschah: Die Mechanik des Exploits

Das Liquid Network ist eine föderierte Sidechain. BTC, das auf der Hauptkette gesperrt ist, soll 1:1 durch LBTC-Token auf der Sidechain repräsentiert werden. Rücknahmen, sogenannte Peg-Outs, erfordern eine Supermehrheit der Föderationsmitglieder, die mitunterzeichnen. Der Notfall-Übersteuerungspfad des Netzwerks erfordert zwei von drei Backup-Schlüsseln und eine Wartezeit von 8.064 Blöcken (etwa 56 Tage). Keiner der Notfallmechanismen wurde hier ausgelöst, weil keiner benötigt wurde: Der Angreifer übermittelte einfach einen gültig aussehenden Peg-Out, den die Föderation signierte.

Der Signaturvalidierungsfehler

Bitcoin-Core-Mitwirkender Antoine Poinsot merkte öffentlich an, dass Block 4.050.336 auf der Liquid-Chain von einem unabhängigen Föderations-Prüfknoten abgelehnt, aber von der eigenen Infrastruktur von Blockstream akzeptiert wurde. Alle 83 Eingaben in der Abflusstransaktion trugen genau 11 gültige Signaturen auf dem 11-von-15-Signaturzweig der Föderation. Die LBTC-Token, die zur Auslösung der Rücknahme verwendet wurden, hätten nicht existieren dürfen, was auf einen Fehler hinweist, wie das Netzwerk den Sidechain-Zustand vor der Autorisierung eines Peg-Outs validierte.

Die Elements-Codebasis, ein Open-Source-Bitcoin-Core-Fork, der hauptsächlich von Blockstream gepflegt wird und die Grundlage für Liquid bildet, hatte in der ersten Septemberwoche eine Reihe von validierungsbezogenen Commits. Ein am 1. September verfasster Commit befasste sich mit der dynafed-Header-Höhenvalidierung, wobei die Commit-Nachricht erklärte, dass ein dynafed-Header mit einer abweichenden Höhe zuvor ohne Fehler akzeptiert werden konnte. Ob dieser spezifische Fix oder sein Fehlen in bereitgestellten Knoten direkt mit dem Exploit zusammenhängt, wurde zum Zeitpunkt der Erstellung dieses Artikels nicht offiziell bestätigt.

Veralteter Code und die Zwei-Jahres-Lücke

Jameson Lopp, Sicherheitschef von Casa, beobachtete, dass die Liquid-Funktionärs-Codebasis seit etwa zwei Jahren keine Commits mehr aufwies. Der letzte registrierte Commit des öffentlichen Repositorys datierte vom 19. April 2024, was bedeutet, dass die Software, die die Föderation schützt, über zwei Jahre vor dem Vorfall ohne öffentliches Update blieb. Diese Beobachtung ist für Unternehmen, die Kontrahenten- und Verwahrungsrisiken bewerten, von Bedeutung: Ein Mangel an sichtbarer Wartungsaktivität bei sicherheitskritischer Infrastruktur ist selbst ein prüfbarer Risikofaktor.

Der Peg-Out-Pfad und die Rolle von SideSwap

SideSwap, ein Dienst, der LBTC-Peg-Outs ermöglicht, verarbeitete die Rücknahme-Order. SideSwap führte den Vorfall auf fehlerhaftes LBTC zurück, das von einem Drittanbieter-Fehler in der Elements-Software stammte, und bestritt, dass eigene Systeme kompromittiert wurden. Liquid Network bestätigte separat, dass der Peg-Out-Autorisierungsschlüssel (PAK) von SideSwap sowie andere Föderationsschlüssel nicht im herkömmlichen Sinne kompromittiert wurden. Die Gelder verließen das Netzwerk über einen legitimen Signaturpfad, was den Exploit technisch ausgefeilt und operativ alarmierend macht: Kein Schlüssel wurde gestohlen, keine Wallet geknackt. Die Regeln wurden befolgt, aber die Regeln wurden auf Token angewendet, die die Validierung nicht hätten bestehen dürfen.

Offenlegung, Transparenz und das Problem der Prüfungsspur

Liquid Network bestätigte den Vorfall um ca. 16:25 Uhr New Yorker Zeit und erklärte, dass die Liquid-Sidechain bis zur Lösung effektiv pausiert sei, wobei Brückenknoten deaktiviert und Börsen LBTC-Einzahlungen und -Auszahlungen einstellten. Was für Prüfer lehrreich ist, ist, wie Informationen an die Oberfläche kamen. Mempool.space, selbst ein Mitglied der Liquid-Föderation, markierte eine unbefugte negative Abhebung von 4.019 BTC in seiner Echtzeit-Prüfung der Föderationsbestände. Das offizielle Liquid-Network-Dashboard unter Liquid.net spiegelte den Verlust nicht sofort wider. Der unabhängige Prüfknoten war schneller und genauer als die eigene öffentliche Schnittstelle des Betreibers.

On-Chain-Nachrichten und Whitehat-Behauptungen

Der Angreifer veröffentlichte zwei On-Chain-OP_RETURN-Nachrichten. Die erste lautete „wir sind Whitehats, kontaktiert uns on-chain“. Eine zweite Adresse, die offenbar vom selben Akteur kontrolliert wurde, verwies Empfänger an die Sicherheits-E-Mail-Adresse von Blockstream. Eine Folgenachricht enthielt Berichten zufolge einen Signal-Handle für weitere Kommunikation. Diese Nachrichten stellen keinen rechtlichen Safe Harbor dar, und Unternehmen sollten Whitehat-Behauptungen als unbestätigt behandeln, bis sie von der betroffenen Partei offiziell bestätigt und die Gelder zurückgegeben wurden. Die Coins waren bis Montagmorgen nicht zurückgegeben worden.

Bilanzielle Auswirkungen für Unternehmen mit LBTC

Dieser Vorfall ist ein direkter Belastungstest dafür, wie gewrappte und sidechain-gebundene Token in Finanzberichten klassifiziert und bewertet werden. Die Bilanzierungsfragen sind für kein Unternehmen, keinen Fonds und keine Treasury, die LBTC-Positionen verbucht hat, hypothetisch.

Peg-Integrität und Fair-Value-Bewertung

Nach IFRS 9 und ASC 820 werden Krypto-Assets grundsätzlich zum Fair Value angesetzt. Die implizite Annahme bei der Erfassung von LBTC zum BTC-Äquivalentwert ist, dass der Peg hält. Wenn das Netzwerk pausiert ist und der Peg-Mechanismus nachweislich defekt ist, ist der Fair Value von LBTC nicht mehr derselbe wie der von BTC. Unternehmen müssen beurteilen, ob der Buchwert einer LBTC-Position eine sofortige Abschreibung erfordert, um die Aussetzung der Konvertierbarkeit widerzuspiegeln. Selbst wenn eine vollständige Erholung erwartet wird, ist der Bewertungsstichtag entscheidend: Eine Bilanz zum Periodenende, die die Pause ignoriert, könnte irreführend sein.

Verwahrungshaftung und Verlusterfassung

Für Verwahrer und Börsen, die Kunden-LBTC hielten, ist die unmittelbarere Frage die Verlusterfassung. Wenn Kundengelder in LBTC denominiert waren und der Peg-Out-Weg suspendiert ist, besteht eine potenzielle Verbindlichkeit gegenüber Kunden, die nicht zum Nennwert beglichen werden kann. Verwahrer sollten ihre vertraglichen Verpflichtungen überprüfen, beurteilen, ob der Vorfall eine Material-Adverse-Change-Klausel auslöst, und feststellen, ob gemäß IAS 37 oder dem entsprechenden GAAP eine Rückstellung erforderlich ist. Die Tatsache, dass ein Drittanbieter-Elements-Fehler als Ursache genannt wird, hebt die Verwahrungshaftung gegenüber Endkunden nicht automatisch auf.

Wertminderung, nicht nur Volatilität

Ein routinemäßiger Preisverfall von BTC stellt für die meisten Rahmenwerke kein Wertminderungsereignis dar, da es sich um eine Marktbewegung handelt. Ein Peg-Bruch ist anders. Es ist ein strukturelles Versagen des Instruments selbst. Unternehmen, die Krypto-Buchhaltungssoftware mit integrierter Compliance-Berichterstattung verwenden, sollten die Liquid-Network-Pause als potenziellen Wertminderungsindikator kennzeichnen, der eine spezifische Hauptbuchprüfung erfordert, getrennt von normalen Mark-to-Market-Routinen. Gute Software für digitale Vermögenswerte sollte in der Lage sein, in ihrer Klassifizierungslogik zwischen Marktpreisrisiko und Kontrahenten- oder Protokollfehlerrisiko zu unterscheiden.

AML- und Compliance-Pflichten

Die Whitehat-Erzählung mag sich als wahr erweisen oder auch nicht. Bis sie offiziell bestätigt ist und die Gelder zurückgegeben sind, sollte die Compliance-Haltung dies als unbefugte Übertragung von etwa 320 Millionen US-Dollar in Bitcoin behandeln. Das hat mehrere unmittelbare Auswirkungen.

Transaktionsüberwachung und verdächtige Aktivitäten

Jede Börse oder jedes VASP, das LBTC während des Zeitraums um den Exploit verarbeitet hat oder Gelder von den identifizierten Adressen des Angreifers erhält, ist potenziell gemäß FATF-Empfehlung 16 und den geltenden nationalen Travel-Rule-Rahmenwerken exponiert. Unternehmen sollten die veröffentlichten Adressen des Angreifers gegen Sanktionslisten prüfen und alle Gegenparteien kennzeichnen, die Gelder von diesen Adressen erhalten haben. Die On-Chain-Nachrichten heben die Pflicht zur Meldung verdächtiger Aktivitäten nicht auf, sofern dies nach lokalem Recht erforderlich ist. Verweisen Sie auf unsere Analyse der AML-Pflichten, wenn Krypto gestohlen oder beschlagnahmt wird, für das zugrunde liegende Rahmenwerk.

Verwahrer: Meldefristen für Vorfälle

Regulierte Verwahrer in der EU unter MiCA, im Vereinigten Königreich unter dem Krypto-Asset-Registrierungsregime der FCA oder in den USA unter staatlichen Geldtransfer-Lizenzen haben in der Regel Meldepflichten für Vorfälle, wenn Kundengelder verloren gehen oder gefährdet sind. Die Pause des Liquid Network erzeugt Mehrdeutigkeit: Vermögenswerte sind nicht endgültig verloren, wenn eine Rückgewinnung ausgehandelt wird, aber sie sind unzugänglich. Unternehmen sollten rechtlichen Rat einholen, ob die Pause unter ihrem spezifischen Regulierungsrahmen einen meldepflichtigen Vorfall auslöst, und diese Analyse klar dokumentieren, einschließlich des Zeitstempels, wann die Geschäftsleitung erstmals informiert wurde.

Risikomanagement-Lehren für Sidechain-Exposition

Der Vorfall ist strukturell vergleichbar, wenn auch mechanisch unterschiedlich, mit dem Ronin-Bridge-Exploit von 2022. In beiden Fällen war ein Multisignatur-Mechanismus die Angriffsfläche und nicht eine Sicherheitsvorkehrung. Unsere frühere Analyse zu wie Bridge-Exploits im Vergleich zum Ronin-Vorfall stehen deckt die AML- und Sanktionsdimensionen ab, die gelten, wenn große Mengen gestohlener Krypto durch Börsen zu fließen beginnen.

Due Diligence bei Infrastruktur für gewrappte Vermögenswerte

Unternehmen, die gewrappte oder sidechain-gebundene Vermögenswerte halten, verwahren oder als Sicherheit akzeptieren, sollten mindestens in der Lage sein, die folgenden Fragen zur zugrunde liegenden Infrastruktur zu beantworten: Wann wurde die Kerncodebasis des Protokolls zuletzt von einem unabhängigen Dritten geprüft; wie häufig werden Software-Updates für Föderations- oder Validierungsknoten veröffentlicht und verfolgt; was ist der Aussetzungsmechanismus für Peg-Outs und wer kontrolliert ihn; und markiert die Krypto-Buchhaltungssoftware des Unternehmens Peg-Status-Ereignisse als eigene Risikokategorie. Wenn die Antwort auf eine dieser Fragen unklar ist, gehört diese Lücke in den nächsten Risikoausschussbericht.

Konzentration und Diversifikation

Das Halten von 320 Millionen US-Dollar in einem einzigen Sidechain-Wrapper, der von einer Föderation unterstützt wird, deren öffentliche Codebasis seit über zwei Jahren nicht aktualisiert wurde, stellt ein Konzentrationsrisiko dar, das eine standardmäßige Due Diligence aufdecken sollte. Für Treasury-Funktionen und Vermögensverwalter unterstreicht der Vorfall die Notwendigkeit einer Diversifizierung der Gegenparteien über Verwahrungs- und Wrapping-Lösungen hinweg, mit expliziten Limits für die Exposition gegenüber einer einzelnen föderierten Sidechain.

Der Vorfall im Liquid Network ist noch nicht abgeschlossen. Blockstream hat noch keinen vollständigen Post-Mortem veröffentlicht, und der Status der 4.000 BTC bleibt ungeklärt. Dieser Artikel wird aktualisiert, sobald wesentliche Fakten bestätigt sind. Unternehmen sollten nicht auf einen Post-Mortem warten, um ihre eigene interne Überprüfung der LBTC-Exposition, des Peg-Status-Monitorings und der Verwahrungshaftungspositionen zu beginnen.

Quelle: Protos