Взлом Liquid на $320 млн закрыли за 57 дней: как отказ от выкупа оставил 600 BTC у атакующего

К началу ноября сеть Liquid сообщила, что её биткоин-расписки снова обеспечены полностью. С 6 сентября, когда из моста вывели $320 млн, прошло 57 дней. На первый взгляд — история с хорошим концом. Смотреть здесь стоит не на сумму возврата, а на то, как закрывали остаток и кто эти два месяца ждал.

Хронология: как один взлом шёл два месяца

В этой таблице видно то, чего не видно в отдельной новости: история не закончилась в день возврата. Первые сутки дали около 84% суммы, а следующие два месяца ушли на остаток — и именно остаток оказался самой содержательной частью сюжета.

Механика: дыра была не в биткоине, а в расписках

Liquid — не отдельный биткоин, а сайдчейн, куда биткоин «переезжает» в виде расписки. Сами монеты лежат в основной сети, а ключи от них держит не открытый набор участников, а ограниченный круг операторов. Говоря простыми словами, вы держите не биткоин, а обязательство выдать биткоин.

Пока резерв цел, каждая расписка равна одному BTC и вопроса не возникает. В момент, когда из резерва уходит $320 млн, расписки никуда не исчезают — они просто перестают быть обеспеченными на эту сумму. Атака шла не на блокчейн биткоина: основная сеть работала как обычно, курс BTC в те дни был около $79 тыс. Атака шла на учёт — на то, кто и по какому правилу подтверждает, что за распиской стоит монета. Поэтому восстановление здесь измеряется не отскоком цены, а возвратом обеспечения.

Вторая половина картины: выкуп не заплатили, а остаток остался

Отказ от выкупа подаётся как принципиальная позиция: платить вымогателю нельзя, иначе появляется рынок для следующих атак. Позиция разумная. Но у неё есть цена, и она в цифрах.

• Почти 600 BTC после 12 сентября оставались у атакующего — это порядка $47 млн. Разница между «выкупом» и «невозвращённым остатком» здесь только в названии: деньги всё равно ушли из резерва и в первые недели не вернулись.
• 57 дней держатели расписок жили с активом, обеспеченность которого была под вопросом. Для тех, кто использовал L-BTC как рабочий инструмент, это два месяца неопределённости — и это тоже часть счёта.
• Финал опубликован одной строкой: обеспечены снова. Кто именно внёс последние $47–50 млн — вернул атакующий, конфисковали, добавила федерация из собственных резервов — из сообщения о завершении не видно. Вопрос не в подозрениях, а в проверяемости: у любого баланса есть автор операции, и его не назвали.

Сравните с другим случаем последних недель: когда пострадала крупная биржа, вывод открыли, и за 10 часов из неё ушло $3,8 млрд, а расчёты по обязательствам закрыли из накопленного резерва. Разница не в благородстве, а в конструкции: там дыру закрывал запас одной компании, здесь — резерв сети, у которой нет единственного владельца и есть репутация, которую нельзя посчитать в моменте.

Проверяемый пример: арифметика сходится

Проверим связь цифр между собой, а не с новостным фоном.

1. Из резерва ушло $320 млн.
2. В первые сутки вернулось $270 млн, и это же подтверждено в монетах — 3 400 BTC. Делим одно на другое: примерно $79,4 тыс. за биткоин, что совпадает с курсом BTC в те дни.
3. Остаток: 320 − 270 = около $50 млн. У атакующего при этом почти 600 BTC; по $78–80 тыс. это $47–48 млн. Оценки слегка расходятся — $47 и ~$50 млн, — но речь об одной и той же величине.

Совпадение неслучайно: невозвращённый остаток и есть то, что осталось у атакующего. Именно поэтому финальная строка «обеспечены снова» значит больше, чем кажется: она говорит, что этот разрыв кто-то закрыл.

Наша трактовка

Картина, которую мы видим 3 ноября, собрана из решений, принятых задолго до 7 сентября и совсем не теми людьми, которые держали расписки. Модель моста с узким кругом операторов выбрали ради скорости и предсказуемости: понятный набор подписантов проще согласовать и проще проверить. Эта же предсказуемость сделала мост одной точкой, к которой можно готовиться годами и которую не нужно искать.

Второе унаследованное решение — формат отчёта. «Обеспечено на 100%» — это отношение резерва к выпуску, арифметика из двух чисел. О том, сколько расписок вывели после 3 ноября, сколько вернулось и какой объём операций идёт в сети, в сообщении о восстановлении нет ни слова. И это не упрёк: баланс проверяется одной цифрой, доверие — только временем. Что видно всем — склад. Что остаётся за кадром — поток.

Отсюда вывод, который переносится на следующий такой случай. Функция «кто-то держит ключи и подтверждает резерв» никуда не исчезла: за те же недели рядом случились потеря до $49 млн на 17 сетях, вывод 52 BTC в истории с Coldcard и минтинг 39,8 млн ARRR в Pirate Chain. Убирают исполнителя, а не функцию: она воспроизводится в форме, менее уязвимой для предыдущего удара, и каждый раз платит тот, кто узнаёт последним.

Что делать практически

• Разделяйте биткоин и его расписку. L-BTC, WBTC и любой «обёрнутый» биткоин — требование к тому, кто держит ключи, а не монета в вашем кошельке. Прежде чем держать в таком активе заметную сумму, посмотрите, кто операторы и публикуется ли резерв.
• При инциденте смотрите на срок, а не на процент. 84% за сутки и 100% за 57 дней — два разных риска: во втором случае вы два месяца не распоряжаетесь активом по нормальной цене.
• Читайте «обеспечено» как бухгалтерский термин. После восстановления следите за объёмом выпуска и активностью в сети — курс расписки и её обеспеченность это разные показатели. Общий фон риска удобно сверять с индексом страха и жадности.
• Спрашивайте, за чей счёт закрыли остаток. Если эмитент отказался от выкупа, у дыры всё равно есть плательщик: резерв компании или держатели. Здесь остаток $47–50 млн закрыли без публичного объяснения.

Что нас опровергнет

• Если к 5 декабря 2026 объём выпущенных расписок и число операций в Liquid вернутся к уровням до 7 сентября — значит отток был техническим, и наш тезис «баланс восстановили, поток нет» неверен.
• Если к 5 декабря 2026 будет раскрыто, что остаток $47–50 млн федерация закрыла из собственных средств без потерь для держателей, — «вторая половина картины» слабее, чем мы её описали, и отказ от выкупа действительно ничего не стоил.
• Если к 1 февраля 2027 при том же объёме средств в мостах не случится ни одного нового инцидента этого класса — значит мы переоценили предсказуемость моста как цели, и вывод про воспроизводство функции требует пересмотра.

Материал не является инвестиционной рекомендацией. Криптовалюты — высокорисковый актив.

Данные: BeInCrypto — Attackers Leave On-chain Message After $320 Million Exits Liquid Network · Cointelegraph — Liquid ‘white hats’ return $270M in Bitcoin as network prepares restart · ForkLog — Хакеры вернули Liquid Network 3400 BTC · Cointelegraph — Blockstream rejects ransom as Liquid hackers hold nearly 600 BTC · Bitcoin Magazine — Liquid Network Announces Final Stages of Recovery Following Massive Hack · CoinDesk — Liquid’s bitcoin IOUs are fully backed again after a $320 million exploit · CryptoSlate — White hats recover 52 Bitcoin from Coldcard exploit · Crypto Briefing — Pirate Chain exploit mints around 39.8 million ARRR, team proposes rollback