Liquid Networkが一時停止 ― 白帽ハッカーと名乗る集団が4,000 BTC(Bitcoin)を引き出す

連邦ウォレットから4,000 BTCが流出

ビットコイン(BTC)のサイドチェーンであるLiquid Networkが、運用を停止した。停止の引き金となったのは、「白帽(ホワイトハット)ハッカー」を自称する集団が連邦(フェデレーション)ウォレットから約4,000 BTC ― 時価およそ3億2,000万ドル ― を引き出した事件だ。LiquidはXへの投稿で、新規取引を遮断するためにブリッジノードを無効化したことを確認した。同時に、当サイトのおすすめ暗号資産取引所ランキングに含まれる多数の取引所をはじめとする各プラットフォームに対し、L-BTCの入出金停止を要請した。引き出された額は、事前に連邦リザーブに保管されていた約4,200 BTCのうち、およそ95%に相当する。L-BTCはブリッジでロックされたコインと1対1で発行されるラップド型Bitcoin、いわゆるラップドビットコイン商品だ。なお、Bitcoinネットワーク自体は無傷で、ベースとなるプルーフ・オブ・ワークのチェーンは通常どおりブロックを生成し続けている。障害はメインチェーンではなく、Liquidのインフラ側にある。

Blockstreamとのオンチェーン交渉

日曜以降、この集団はBitcoinトランザクションに埋め込まれたOP_RETURNメッセージとPGP暗号化テキストを用いて、交渉チャネルを開設した。Galaxy Researchの責任者Alex Thornが公開した再現記録によれば、Liquidの技術提供元であるBlockstreamが、セキュリティチームへの連絡を促すメモとともに1,000サトシを送付し、接触を開始したのはBlockstreamの側だった。それに先立ち、約3億2,000万ドル相当のコインは「we are whitehats. contact us on chain.」というメッセージ付きの単一のBitcoinアドレスに集約されていた。集団は資金の大半を連邦アドレスに返還することが可能かを問う一方、ネットワーク全体で脆弱性が修正されるまでコインを動かさないよう主張している。ただし「大半」が具体的にどの程度を指すのかは未定義で、返還が保証されているわけではなく、事実上すべてのBitcoinが今も彼らの管理下にある。

SideSwapは鍵漏えいを否定

引き出しの経路も次第に明らかになってきた。SideSwapの説明によれば、当該トランザクションは顧客注文として同社のペグアウトサービスを経由し、Peg-out Authorization Key(PAK)が使用されたが、鍵そのものは漏えいしていないという。代わりに、問題のL-BTCはLiquidの基盤となるオープンソースソフトウェア「Elements」のバグに由来するものだという。Liquid自身は、実行者について今のところ「自称」白帽ハッカーとのみ表現しており、意図の問題は伏せられたままだ。なお、L-BTC以外にネットワーク上で発行された資産 ― USDT、DePix、実世界のトークンなど ― には影響がなかったと報じられている。ラップドBitcoin型の設計がカストディリスクをどう集中させるかを追う者にとって、今回の事件はまさに生きた教材であり、当サイトの先日のレポート4,000 BTCの白帽ペグアウトがブリッジの仕組みを詳しく解説している。

Bitcoinブロックに刻まれた経緯

オンチェーンデータによれば、実際の流出は9月6日、ブロック965,783で承認された約3,996 BTCのペグアウトに固定されており、ブロックエクスプローラーで確認できる。別のトランザクションが、白帽であるとする最初の主張を運んだ。Blockstreamはブロック965,822で1,000サトシとOP_RETURNによる警告を送り、続けて公開済みPGP鍵で検証可能な分離署名付きの暗号化データを送信した。集団はブロック965,869で応答し、連邦のペグウォレットに1,000サトシを送りながら資金の大半を返還する可能性を問うた。「まずバグを修正せよ」という、全ノードの更新を求める要求は6ブロック後に届いた。このやり取りが証明するのは、コインを保持する側がBlockstreamに応答できるということだけだ。動機を証明したわけではない。

白帽の主張を巡り業界が割れる

セキュリティ専門家の見解は割れている。Ledgerの最高技術責任者(CTO)Charles Guillemetは当初、通常の白帽ハッカーがブリッジから数億ドル規模の資金を引き出すことは考えにくく、過去のRoninやEulerなどのエクスプロイトと比較できると主張した。しかし集団が接触を試みた後、彼は立場を軟化させ、犯罪者は被害者にここまで手間をかけて連絡を取ることは稀だと指摘し、「望みはある」と記した。その上で、AIを活用したリサーチによって正規の開示プロセスを経ずに脆弱性が発見された可能性にも言及している。一方Liquidは、パッチのバージョン番号も、技術的な事後検証レポートも、運用再開の時期も示しておらず、最新の確認時点で返還トランザクションは一件も確認されていない。

事後検証はまだ出ていない

当サイトの読みでは、この事件を通常のエクスプロイトから切り離しているのは検証可能なレイヤーだ。流出額は約3,996 BTCで、オンチェーン上で独立に確認でき、チーム自身のメッセージングがroot causeを盗まれた認可鍵ではなくElementsソフトウェアに位置づけている。修正の道筋も明示されている ― 再始動の前に、すべての連邦ノードへパッチを配布することだ。未証明なのは意図だ。正式なポストモーテムが、ペグアウトがどのように通常の統制を回避したのか、そして集団がリザーブのどれだけを手元に残すつもりなのかを開示するまで、「白帽」という枠組みは争点であり続ける。Bitcoin DeFiにとってこれは馴染みのある教訓の再確認だ。カストディを集中させるブリッジが今年最大の弱点であり続けており、2026年のプロトコル損失は8月時点ですでに13億ドルと推計されている。