Bitcoin im Wert von 320 Millionen Dollar bei Liquid gestohlen
Rund 4000 Bitcoin im Wert von 320 Millionen Dollar sind aus dem Liquid Network gestohlen worden. Die mutmasslichen Täter bezeichnen sich als «White-Hat-Hacker».
Liquid Network meldete am 6. September einen schweren Sicherheitsvorfall und stoppte anschliessend sämtliche neuen Transaktionen vorübergehend während der laufenden Untersuchung. Laut «Börsen-Zeitung» wurden dabei rund 4000 von insgesamt 4200 Bitcoin aus einer Federation-Wallet entwendet, wodurch etwa 95 Prozent betroffen sind.
Der Vorfall zählt zu den grösseren Krypto-Sicherheitsproblemen dieses Jahres und reiht sich dabei in eine Serie ähnlicher Angriffe weltweit ein. Das Netzwerk wird von zahlreichen Unternehmen genutzt und dient zur schnelleren Abwicklung von Transaktionen ausserhalb der eigentlichen Blockchain.
Liquid wurde 2018 von Blockstream gegründet und wird inzwischen von einem Verbund aus mehr als 80 Unternehmen verwaltet. Dazu gehören Börsen, Infrastrukturunternehmen und Vermögensverwalter, die Liquid für schnellere Transaktionen und Abwicklungen nutzen.
Bitcoin: Wie der Angriff ablief
Die Täter transferierten zunächst L-BTC, also im Liquid Network hinterlegte Bitcoin-Einheiten, von einem zentralen Wallet des Netzwerks in der Infrastruktur. Nur 23 Minuten später wurden die Bitcoin über SideSwap, eine autorisierte Plattform für Transfers aus Liquid, ausgezahlt und anschliessend weitergeleitet.
Liquid erklärte, dass dabei kein Schlüssel kompromittiert worden sei, sondern offenbar eine Schwachstelle innerhalb der verwendeten Software gezielt ausgenutzt wurde. Nach Angaben von Blockstream liegt die Ursache möglicherweise in einem Fehler der Elements-Software, die für Liquid verwendet wird.
Laut «MARES» gilt ein möglicher «rangeproof cache bug» in der Elements-Software als technische Ursache des Vorfalls und wird derzeit untersucht. Die Schwachstelle könnte es ermöglicht haben, dass ungültige Transaktionen von beteiligten Systemen nicht zuverlässig automatisch erkannt und anschliessend verarbeitet wurden.
Folgen für Liquid und die Kryptobranche
Nach Angaben von Liquid blieben andere Vermögenswerte wie USDT und DePix im Netzwerk vom Angriff verschont und wurden nicht entwendet. Die Angreifer hinterliessen Nachrichten auf der Blockchain und forderten Liquid darin auf, sie unmittelbar direkt über die Blockchain zu kontaktieren.
Dabei deuteten sie an, einen Grossteil der gestohlenen Bitcoin nach einer erfolgreichen Behebung der Sicherheitslücke wieder zurückzugeben. Ob diese Zusage tatsächlich umgesetzt wird, bleibt allerdings offen, während die betroffenen Bitcoin weiterhin bei den mutmasslichen Angreifern verbleiben.
Der Angriff trifft auf weitere Sicherheitsvorfälle im Kryptobereich, darunter die Attacke auf die Coldcard-Wallet mit rund 1800 gestohlenen Bitcoin allein. US-Spot-Bitcoin-ETFs verzeichneten zuletzt Nettozuflüsse von fast einer Milliarde Dollar, wie «Börse Express» berichtet, trotz der Sicherheitsprobleme im Kryptomarkt.
