Программная ошибка в коде Blockstream Elements привела к хищению около 3 998,5 L-BTC на сумму примерно $320 миллионов. Инцидент, произошедший 6 сентября 2026 года, позволил злоумышленнику вывести 95% резервов Liquid Federation, обойдя проверку доказательств диапазона.
Причиной стала коллизия ключей кэша в процессе верификации. До версии v23.3.4 программное обеспечение создавало ключи без префиксов длины, из-за чего система принимала недействительные доказательства за проверенные. Это позволило выпустить не обеспеченные активами токены L-BTC.
После обнаружения взлома Blockstream приостановила операции и работу сети до 10 сентября. Команда выпустила обновление v23.3.4, которое исправляет управление ключами кэша. Компания подтвердила, что инцидент вызван багом, а не компрометацией ключей подписи федерации.
Злоумышленник, представившийся белым хакером, потребовал вознаграждение в размере 10%. После переговоров он вернул около 3 400 BTC, оставив себе 598,5 BTC, что составляет примерно 15% от похищенной суммы. Сеть оставалась неактивной в течение четырех дней.
