Više od 4.000 BTC-a, čija je vrijednost procijenjena na oko 320 milijuna dolara, povučeno je iz novčanika koji podupire Liquid. Hakeri su iskoristili inflacijsku pogrešku, stvorili nepostojeće tokene i zamijenili ih za stvarni Bitcoin. Pojednostavljeno, token je digitalna jedinica koja predstavlja određenu vrijednost i može se prenositi putem mreže.
Nakon komunikacije s Blockstreamom vratili su većinu sredstava, ali su zadržali 598,5 BTC-a. Zadržani iznos vrijedi više od 46 milijuna dolara.
Blockstream je u priopćenju objavljenom 11. Rujna 2026. odbio daljnje pregovore i poručio da neće platiti otkupninu. Tvrtka smatra da neovlašteno uzimanje imovine i uskraćivanje njezina povrata nije odgovorno prijavljivanje sigurnosnog propusta ni white-hat aktivnost, nego krađa.
Kako je inflacijska pogreška otvorila put do bitcoina
Liquid je Blockstreamov bočni lanac, odnosno mreža drugog sloja namijenjena bržem premještanju imovine povezane s Bitcoinom. Njezin token L-BTC, poznat i kao LBTC, pokriven je bitcoinom u omjeru 1:1.
To znači da bi svaki izdani LBTC morao odgovarati jednom stvarnom bitcoinu u pričuvnom sustavu. Mehanizam se može usporediti sa skladišnom potvrdom: jedna potvrda predstavlja točno jednu jedinicu robe u skladištu.
Inflacijska pogreška narušila je tu osnovnu računicu. Hakeri su stvorili više od 4.000 nepostojećih LBTC-a, a zatim ih zamijenili za stvarne bitcoine na glavnom lancu.
Sredstva su povučena u nedjelju iz federacijskog novčanika koji podupire mrežu. Procijenjena vrijednost prvotno povučenih bitcoina iznosila je oko 320 milijuna dolara.
Hakeri su potom komunicirali s Blockstreamom porukama upisanima u Bitcoin blokove. Najprije su zatražili da tvrtka ispravi pogrešku i zakrpa svaki čvor, uz obećanje da će sredstva sigurno vratiti nakon potvrde popravka.
Spor oko nagrade prerastao je u zahtjev za otkupninom
Nakon povrata većine bitcoina skupina je zadržala 598,5 BTC-a. Hakeri su zahtijevali da im Blockstream dopusti zadržavanje 10 % povučenih bitcoina kao nagradu za pronalazak pogreške.
Njihova posljednja poruka sadržavala je i prijetnju objavom Blockstreamove šifrirane komunikacije. Skupina je tvrtku nazvala zavaravajućom, pohlepnom i arogantnom te je postavila pred izbor između plaćanja 10 % i gubitka od 15 % za vlasnike sredstava.
Blockstream je povukao jasnu granicu između sigurnosnog istraživanja i krađe. Pronalazak ranjivosti ne daje pravo na neovlašteno uzimanje imovine ni uskraćivanje njezina povrata.
Tvrtka je zato odbila platiti za povrat preostalih sredstava. Hakerima je ipak ostavila dodatno vrijeme da vrate 598,5 BTC-a prije uključivanja tijela kaznenog progona.
Blockstream priprema praćenje sredstava
Blockstream namjerava surađivati s tijelima kaznenog progona, burzama, pružateljima usluga, forenzičkim stručnjacima i drugim relevantnim stranama. Cilj je pratiti i vratiti imovinu te identificirati osobe odgovorne za napad.
Blockstream je također poručio da neće napustiti korisnike Liquida te da Bitcoin zajednica neće prestati tragati za sredstvima. Hakeri su zadržali 598,5 BTC-a, čija procijenjena vrijednost prelazi 46 milijuna dolara.
Hakeri su u svojoj poruci zatražili da Blockstream ispravi pogrešku i osigura zakrpu za svaki čvor prije nego što vrate novac.
Coldcard je u srpnju pretrpio odvojeni sigurnosni incident
Napad na Liquid uslijedio je nakon zasebne krađe povezane s korisnicima hardverskog novčanika Coldcard. Hakeri su u srpnju 2026. ukrali više od 1.800 BTC-a, tada procijenjenih na gotovo 140 milijuna dolara.
Coldcard proizvodi Coinkite, a napadači su ciljali njegove korisnike zbog problema s generiranjem slučajnih brojeva. Proizvođač nije koristio pravi generator slučajnih brojeva, što je napadačima omogućilo pogađanje početnih fraza korisnika.
Ta dva incidenta nisu dio istog napada. U slučaju Liquida povučeno je više od 4.000 BTC-a, dok su korisnici Coldcarda izgubili više od 1.800 BTC-a.
Zaključak
Inflacijska pogreška na Liquidu omogućila je stvaranje više od 4.000 nepokrivenih LBTC-a i njihovu zamjenu za stvarne bitcoine. Hakeri su vratili većinu sredstava, ali su zadržali 598,5 BTC-a te zatražili da im se 10 % povučenih bitcoina prizna kao nagrada.
Blockstream odbija platiti otkupninu i namjerava surađivati s tijelima kaznenog progona, burzama, pružateljima usluga i forenzičkim stručnjacima radi praćenja i povrata imovine te identificiranja odgovornih. Hakerima je ostavio dodatno vrijeme da vrate bitcoine vrijedne više od 46 milijuna dolara.
