Bir hacker, parayı geri vermeden önce bir Bitcoin yan zincirine kendi hatasını düzeltmesini söyledi

6 Eylül 2026 tarihinde UTC saat 14:00’dan bir süre sonra, birisi Blockstream’in Liquid Network federasyon cüzdanından 3.996 BTC’yi sessizce çekti. O tarihte bu miktar yaklaşık 320 milyon dolara denk geliyordu. İşlemden önce cüzdanda yaklaşık 4.200 BTC bulunuyordu. İşlemden sonra ise cüzdanda yaklaşık 207 BTC kalmıştı. Liquid'in L-BTC tokenini destekleyen rezervin yüzde doksan beşi, tek bir transferle bir anda yok olmuştu ve Blockstream'de kimse bunu öngörememişti.

Liquid, olayın meydana gelmesinden birkaç saat sonra X üzerinden durumu doğruladı: Blockstream, bir güvenlik olayından haberdar olduğunu ve zincir üzerindeki taraflarla imzalı bir mesaj yoluyla iletişime geçmek için çalıştığını belirterek, bu çekim işlemini “sözde beyaz şapkalı hackerların” işi olarak nitelendirdi. Ağ, ne olduğunu araştırırken yeni işlemleri durdurdu, köprü düğümlerini devre dışı bıraktı ve borsalardan L-BTC yatırma ve çekme işlemlerini dondurmalarını istedi. "Liquid cüzdanları bu durumdan etkilenecek ve verdiğimiz rahatsızlıktan dolayı özür dileriz" ifadesinin yer aldığı paylaşım, bir hafta sonu boyunca Bitcoin cinsinden dokuz haneli bir meblağ kaybettikten sonra yazılması tuhaf bir durumdu.

Bu olayı olağan dışı kılan şey, kaybın büyüklüğü değil; gerçi 320 milyon dolarlık kayıp, onu bu yılın hack listesinin en üst sıralarına yerleştiriyor. Asıl önemli olan, ne olmamasaydı. Hiçbir özel anahtar çalınmadı. Hiçbir federasyon üyesi kimlik hırsızlığına uğramadı. Liquid, fonların aktarılmasında kullanılan SideSwap Peg-out Yetkilendirme Anahtarının "tehlikeye atılmadığını, diğerlerinin de öyle olmadığını" açıkça belirtti . SideSwap da bunu doğrulayarak, işlemin tamamen imzalanmış ve yetkilendirilmiş normal bir müşteri emri olarak gerçekleştiğini ve sistemlerinin, işlemin arkasındaki L-BTC’nin aslında var olmaması gerektiğini tespit etmesinin imkânsız olduğunu belirtti.

Asıl hata budur. Birisi, Liquid’in altında yatan açık kaynaklı yazılım olan Elements’ta, gerçek Bitcoin ile desteklenmeyen L-BTC basılmasına izin veren bir açık buldu. Zincir üstü analisti mononaut, bu akışın ardından dolaşımdaki her bir LBTC’nin gerçek bir Bitcoin’in yalnızca yaklaşık%4,7’si kadar desteklendiğini tahmin etti. darosior adıyla paylaşım yapan Bitcoin Core katkıcısı Antoine Poinsot, başka bir tersliğin daha farkına vardı: Blockstream’in kendi gezgini tarafından kabul edilen bir Liquid bloğu, mempool.space’te hiç görünmüyordu; bu küçük teknik ayrıntı, kusurun konsensüs mantığının ne kadar derinliklerine uzandığını gösteriyordu. Araştırmacılar sonunda sorunun kaynağını, Liquid’in gizli işlemlerinin doğrulanma ve önbelleğe alınma şekline kadar izlediler — bu, çalınan anahtar hikayesi değil, bir enflasyon hatasıydı.

Ardından, bu olayı kripto güvenlik tarihinin en tuhaf çıkmazlarından biri haline getiren kısım geldi. Fonları elinde tutan kişi veya kişiler, Blockstream’e doğrudan Bitcoin işlemlerine gömülü mesajlar göndermeye başladı; bunlardan bazıları OP_RETURN yoluyla, bazılarının ise PGP ile şifrelenmiş olduğu bildirildi. Mesajlardan birinde, kabaca şöyle deniyordu: “Önce hatayı düzeltin, her düğümün yamalandığını teyit edin, ancak o zaman para geri aktarılacaktır.” Adam Back liderliğindeki Blockstream de aynı şekilde yanıt verdi. The Block'un haberine göre, şirket düzeltme yayına girdikten sonra kendi imzalı mesajını gönderdi: "Köprü düğümleri yamalandı, fonları iade etmek güvenlidir." Bu yazının yazıldığı sırada Bitcoin hâlâ saldırganın cüzdanındaydı.

Galaxy Digital’in araştırma başkanı Alex Thorn, hackerların bir adım daha ileri giderek, güvenlik açığını tam olarak belirlemeye yardımcı olmak amacıyla Blockstream’e şifreli teknik raporlar gönderdiğini söyledi. Eğer bu doğruysa, bu gerçekten tuhaf bir teşvik yapısı: 320 milyon dolarlık bir güvenlik açığı, şu ana kadar ödenmemiş ve oldukça agresif bir hata ödül programı olarak işlev görüyor. Bunun böyle kalıp kalmayacağı şu anda önemli olan tek soru ve o cüzdanın sahibi dışında kimse cevabı bilmiyor. Bu sektördeki her büyük "beyaz şapkalı" iddia, fonların iadesi için son tarih geldiği anda sınanır.

Diğer herkes için ise acil zarar daha sıradan nitelikte. Liquid’in USDT, DePix ve ağdaki çeşitli tokenleştirilmiş gerçek dünya varlıkları dahil diğer varlıkları, hatanın yan zincirin tamamından ziyade L-BTC’nin gizli işlem işleme sistemine özgü olması nedeniyle etkilenmediği bildirildi. Ancak federasyon yine de tüm ağı durdurdu ve Liquid üzerinden ödeme işlemlerini yönlendiren borsalar, federasyonun düğüm operatörleri arasında yamalar dağıtılırken LBTC faaliyetlerini askıya almak zorunda kaldı. Liquid, 2018 yılından bu yana 80'den fazla borsa ve altyapı firması tarafından denetlenen federatif bir Bitcoin yan zinciri olarak faaliyet göstermektedir ve bu tür olaylar, federatif köprü tasarımları lehinde veya aleyhinde yapılacak her türlü gelecekteki sunumda sıkça referans gösterilecek türden olaylardır.

Burada, tek bir olayın ayrıntıları arasında gözden kaçması kolay olan daha geniş bir örüntü de var. Yalnızca bu istismar, haftanın kripto hırsızlığı toplamını 320 milyon doların üzerine çıkardı; güvenlik izleme kuruluşları tarafından ayrı olarak bildirilen Notional Finance’teki yaklaşık 1,7 milyon dolarlık emanet istismarı da dahil olmak üzere diğer daha küçük kayıplar bu rakama eklendi. Yan zincirler ve köprüler, paranın sızdığı yerler olmaya devam ediyor; bunun nedeni Bitcoin temel katmanının zayıf olması değil, onun yanına inşa edilen her şeyin kendi yazılımındaki hataları miras almasıdır.

Blockstream, Liquid’in ne zaman tam olarak yeniden faaliyete geçeceğini açıklamadı; ayrıca saldırganın kimliğini doğrulamadı ya da görüşmeyi kabul etmeden önce ağın neredeyse tüm rezervini alan birine “beyaz şapkalı” etiketinin uygun olup olmadığını da belirtmedi. Şu an için bu hikaye, bir bitcoin yan zincirinin, sözün gerekli olduğunu en başından beri kanıtlamış olan aynı kişiden, blok zinciri mesajlarında yazılmış bir sözü beklemesi şeklinde özetlenebilir.