Злом Liquid на $320 млн закрили за 57 днів: як відмова від викупу залишила 600 BTC у зловмисника

На початок листопада мережа Liquid повідомила, що її біткоїн-розписки знову забезпечені повністю. З 6 вересня, коли з мосту вивели $320 млн, минуло 57 днів. На перший погляд — історія з хорошим кінцем. Дивитися тут варто не на суму повернення, а на те, як закривали залишок і хто ці два місяці чекав.

Хронологія: як один злом тривав два місяці

У цій таблиці видно те, чого не видно в окремій новині: історія не закінчилася в день повернення. Перша доба дала близько 84% суми, а наступні два місяці пішли на залишок — і саме залишок виявився найзмістовнішою частиною сюжету.

Механіка: діра була не в біткоїні, а в розписках

Liquid — не окремий біткоїн, а сайдчейн, куди біткоїн «переїжджає» у вигляді розписки. Самі монети лежать в основній мережі, а ключі від них тримає не відкритий набір учасників, а обмежене коло операторів. Простими словами, ви тримаєте не біткоїн, а зобов’язання видати біткоїн.

Поки резерв цілий, кожна розписка дорівнює одному BTC і питання не виникає. У момент, коли з резерву йде $320 млн, розписки нікуди не зникають — вони просто перестають бути забезпеченими на цю суму. Атака йшла не на блокчейн біткоїна: основна мережа працювала як звичайно, курс BTC у ті дні був близько $79 тис. Атака йшла на облік — на те, хто і за яким правилом підтверджує, що за розпискою стоїть монета. Тому відновлення тут вимірюється не відскоком ціни, а поверненням забезпечення.

Друга половина картини: викуп не заплатили, а залишок залишився

Відмову від викупу подають як принципову позицію: платити вимагачу не можна, інакше з’являється ринок для наступних атак. Позиція розумна. Але в неї є ціна, і вона в цифрах.

• Майже 600 BTC після 12 вересня залишалися у зловмисника — це близько $47 млн. Різниця між «викупом» і «неповерненим залишком» тут лише в назві: гроші все одно пішли з резерву і в перші тижні не повернулися.
• 57 днів тримачі розписок жили з активом, забезпеченість якого була під питанням. Для тих, хто використовував L-BTC як робочий інструмент, це два місяці невизначеності — і це теж частина рахунку.
• Фінал опубліковано одним рядком: забезпечені знову. Хто саме вніс останні $47–50 млн — повернув зловмисник, конфіскували, додала федерація з власних резервів — із повідомлення про завершення не видно. Питання не в підозрах, а в перевірюваності: у будь-якого балансу є автор операції, і його не назвали.

Порівняйте з іншим випадком останніх тижнів: коли постраждала велика біржа, виведення відкрили, і за 10 годин із неї пішло $3,8 млрд, а розрахунки за зобов’язаннями закрили з накопиченого резерву. Різниця не в благородстві, а в конструкції: там діру закривав запас однієї компанії, тут — резерв мережі, у якої немає єдиного власника і є репутація, яку не можна порахувати в моменті.

Перевірюваний приклад: арифметика сходиться

Перевіримо зв’язок цифр між собою, а не з новинним фоном.

1. З резерву пішло $320 млн.
2. За першу добу повернулося $270 млн, і це ж підтверджено в монетах — 3 400 BTC. Ділимо одне на інше: приблизно $79,4 тис. за біткоїн, що збігається з курсом BTC у ті дні.
3. Залишок: 320 − 270 = близько $50 млн. У зловмисника при цьому майже 600 BTC; за $78–80 тис. це $47–48 млн. Оцінки трохи розходяться — $47 і ~$50 млн, — але йдеться про одну й ту саму величину.

Збіг невипадковий: неповернений залишок і є тим, що залишилося у зловмисника. Саме тому фінальний рядок «забезпечені знову» означає більше, ніж здається: він говорить, що цей розрив хтось закрив.

Наше трактування

Картина, яку ми бачимо 3 листопада, зібрана з рішень, ухвалених задовго до 7 вересня і зовсім не тими людьми, які тримали розписки. Модель мосту з вузьким колом операторів обрали заради швидкості й передбачуваності: зрозумілий набір підписантів простіше узгодити і простіше перевірити. Ця ж передбачуваність зробила міст однією точкою, до якої можна готуватися роками і яку не потрібно шукати.

Друге успадковане рішення — формат звіту. «Забезпечено на 100%» — це відношення резерву до випуску, арифметика з двох чисел. Про те, скільки розписок вивели після 3 листопада, скільки повернулося і який обсяг операцій іде в мережі, у повідомленні про відновлення немає ні слова. І це не докір: баланс перевіряється однією цифрою, довіра — лише часом. Що видно всім — склад. Що залишається за кадром — потік.

Звідси висновок, який переноситься на наступний такий випадок. Функція «хтось тримає ключі й підтверджує резерв» нікуди не зникла: за ті ж тижні поруч сталися втрата до $49 млн на 17 мережах, виведення 52 BTC в історії з Coldcard і мінтинг 39,8 млн ARRR у Pirate Chain. Усувають виконавця, а не функцію: вона відтворюється у формі, менш уразливій для попереднього удару, і щоразу платить той, хто дізнається останнім.

Що робити практично

• Розділяйте біткоїн і його розписку. L-BTC, WBTC і будь-який «обгорнутий» біткоїн — це вимога до того, хто тримає ключі, а не монета у вашому гаманці. Перш ніж тримати в такому активі помітну суму, подивіться, хто оператори і чи публікується резерв.
• Під час інциденту дивіться на строк, а не на відсоток. 84% за добу і 100% за 57 днів — два різні ризики: у другому випадку ви два місяці не розпоряджаєтеся активом за нормальною ціною.
• Читайте «забезпечено» як бухгалтерський термін. Після відновлення стежте за обсягом випуску й активністю в мережі — курс розписки та її забезпеченість це різні показники. Загальний фон ризику зручно звіряти з індексом страху й жадібності.
• Питайте, за чий рахунок закрили залишок. Якщо емітент відмовився від викупу, у діри все одно є платник: резерв компанії або тримачі. Тут залишок $47–50 млн закрили без публічного пояснення.

Що нас спростує

• Якщо до 5 грудня 2026 обсяг випущених розписок і кількість операцій у Liquid повернуться до рівнів до 7 вересня — отже, відтік був технічним, і наша теза «баланс відновили, потік ні» хибна.
• Якщо до 5 грудня 2026 буде розкрито, що залишок $47–50 млн федерація закрила з власних коштів без втрат для тримачів, — «друга половина картини» слабша, ніж ми її описали, і відмова від викупу справді нічого не коштувала.
• Якщо до 1 лютого 2027 за того ж обсягу коштів у мостах не станеться жодного нового інциденту цього класу — отже, ми переоцінили передбачуваність мосту як цілі, і висновок про відтворення функції потребує перегляду.

Матеріал не є інвестиційною рекомендацією. Криптовалюти — високоризиковий актив.

Дані: BeInCrypto — Після виведення $320 млн з Liquid Network зловмисники залишили ончейн-повідомлення · Cointelegraph — «Білі капелюхи» Liquid повернули $270 млн у біткоїнах, мережа готується до перезапуску · ForkLog — Хакери повернули Liquid Network 3400 BTC · Cointelegraph — Blockstream відмовляється від викупу, хакери Liquid тримають майже 600 BTC · Bitcoin Magazine — Liquid Network оголошує фінальні стадії відновлення після масштабного злому · CoinDesk — Біткоїн-IOU Liquid знову повністю забезпечені після експлойту на $320 млн · CryptoSlate — «Білі капелюхи» відновили 52 Bitcoin після експлойту Coldcard · Crypto Briefing — Експлойт Pirate Chain призвів до мінтингу близько 39.8 млн ARRR, команда пропонує відкат