Из Liquid ушло 4000 BTC, а переговоры о возврате идут в блокчейне

За выходные из кошелька федерации Liquid Network ушло около 4000 BTC — примерно $318 млн по сегодняшней цене. Переговоры о возврате идут в блокчейне биткоина, публично, и прочитать обе стороны может кто угодно.

Тот, у кого монеты, написал Blockstream сообщением в OP_RETURN на блоке 965 875: сначала почините баг и убедитесь, что пропатчены все узлы, тогда средства вернутся. Использовался и PGP-шифрованный текст. Blockstream ответила своим сообщением в блокчейне, подписанным PGP.

“Узлы мостов пропатчены, средства можно возвращать.”

— Blockstream, сообщение в блокчейне с подписью PGP, The Block, 7 сентября 2026 года

Источник цитаты: The Block, 7 сентября 2026 года

На момент выхода той публикации монеты не двигались. Обещание касается большей части из 4000 BTC, а не всей суммы, — и вот на этом месте «белая шляпа» превращается в переговоры о вознаграждении.

Не украденный ключ, а баг чеканки

Ключи здесь не крали. Liquid — это сайдчейн, где каждый L-BTC должен быть обеспечен один к одному биткоином в кошельке федерации, а лишние L-BTC в этом инциденте были созданы багом в программе Elements, на которой Liquid работает.

Технический разбор указывает на кэш rangeproof в конфиденциальных транзакциях. В ключе кэша не хватало контекста актива и скрипта, поэтому уже проверенное доказательство можно было переиспользовать, и часть узлов принимала получившиеся необеспеченные L-BTC. Их затем обменяли на настоящий биткоин.

Это различие важнее размера суммы. Биржа, потерявшая ключи, — это провал хранения. Привязанный актив, который начеканил себя из кэша проверок, — это провал самого обещания, на котором привязка держится, и объяснить его потом гораздо труднее.

Исправление уже было написано

Дальше всего должна разойтись деталь про выпуск сборок. Исправление этого бага уже было влито в репозиторий Elements за несколько дней до инцидента. Но оно не попало в помеченную версию, и узлы в проде работали на сборке без него.

Ничего экзотического в этой фразе нет. У любой команды, которая выпускает софт, есть зазор между «влито» и «вышло», — просто в этом зазоре стояло около $318 млн. Мосты сейчас отключены, биржи приостановили ввод и вывод L-BTC, пока сеть патчат.

За чем следить сейчас

Сюжет становится обыденным. Этим летом мы насчитали семнадцать случаев, когда ИИ-агенты вскрывали реальные компании, а на прошлой неделе подрядчик по доставке слил домашние адреса покупателей аппаратных кошельков. В двух историях из трёх всё начинается с исправления, которое существовало раньше инцидента.

Следить стоит за кошельком, а не за заявлениями. Пока монеты не сдвинулись, самое ценное, что произвёл этот инцидент, — публичная запись о том, как именно работал баг, составленная обеими сторонами в реестре, который не контролирует ни одна из них.

Это не финансовый совет — только информация к размышлению.