لم يكن اختراق شبكة Liquid سرقة للمفاتيح. لقد كشف كيف تعمل الشبكات الجانبية الفيدرالية لبيتكوين فعلياً مثل البنوك. ماذا يعني صرف 320 مليون دولار للطبقة الثانية من BTC.
أمان الشبكات الجانبية لبيتكوين أسطورة - أثبتت Liquid ذلك بالفعل
في 6 سبتمبر 2026، سرق شخص ما ما يقارب 4,000 بيتكوين — بقيمة حوالي 320 مليون دولار في ذلك الوقت — من شبكة Liquid (https://liquid.net/)، وهي الشبكة الجانبية الرئيسية التي طورها Blockstream (https://blockstream.com/)، الشركة التي أسسها آدم باك، عالم التشفير الذي يُشار إلى خوارزمية Hashcash الخاصة به في الورقة البيضاء للبيتكوين. لم تُسرق المفاتيح الخاصة. ولم يتم اختراق التوقيع متعدد التواقيع. عثر اللص على ثغرة دقيقة في برنامج ما، ورمى بيتكوين غير موجود، وأفرغ 95% من احتياطيات الشبكة في 23 دقيقة.
هذا ليس اختراقًا أمنيًا بالمعنى الذي يتخيله معظم الناس. إنه شيء أكثر إحراجًا: جولة بنكية على نظام لم يكن من المفترض أبدًا أن يحتاج إلى بنك.
الخلاصات الرئيسية
- كانت عملية اختراق Liquid عبارة عن ثغرة برمجية، وليس اختراقاً: تسببت تصادمية في ذاكرة التخزين المؤقت لإثبات النطاق في Elements (https://github.com/ElementsProject/elements) في السماح للمهاجم بإنشاء L-BTC غير مدعوم واسترداده مقابل ما يقارب 4,000 بيتكوين حقيقية.
- Liquid هي سلسلة جانبية فيدرالية — عبارة عن توقيع متعدد 11 من 15 تديره حوالي خمسة عشر شركة. هذا نموذج ثقة، وليس "لا مفاتيحك، لا عملاتك".
- أعاد "القبعات البيضاء" كما يصفون أنفسهم 85% من الأموال، واحتفظوا بحوالي 598.5 BTC (نحو 47 مليون دولار) كعقوبة عينوها لأنفسهم، مما ضبابي الخط الفاصل بين الإفصاح والابتزاز.
- رفضت Blockstream الدفع، وهي في الوقت نفسه تقاتل في قضية SPAC المنهار بقيمة 4 مليارات دولار ودعاوى قضائية تتعلق بالتعدين — بينما لا يزال حاملو L-BTC غير قادرين على استرداد عملاتهم إلى السلسلة الرئيسية.
ماذا حدث فعلياً لـ Liquid؟
كانت الثغرة أنيقة في بساطتها. تعمل Liquid على Elements، وهو الشفرة المصدرية مفتوحة المصدر التي تحافظ عليها Blockstream. سمحت ثغرة في كيفية تخزين Elements لإثباتات النطاق — وهي الرياضيات التي تثبت أن مبلغ المعاملة السرية شرعي — المهاجم بصك L-BTC دون وجود بيتكوين خلفه. ثم تم توجيه هذه الرموز المزيفة عبر SideSwap (https://sideswap.io/)، وهي منصة تداول تحتفظ بمفتاح تفويض السحب، لتحويلها إلى سحب بيتكوين حقيقية من محفظة الاحتياطي التابعة للاتحاد.
انخفض الاحتياطي من حوالي 4,200 بتكوين إلى 197 بتكوين في أقل من نصف ساعة.
إليك الجزء الأكثر أهمية: لم يتم المساس بمفاتيح التوقيع الخاصة بالاتحاد. عملت آلية التوقيع متعدد التواقيع 11 من 15 — التي تتطلب موافقة مشتركة من خمسة عشر شركة، بما في ذلك البورصات وصناع السوق، على أي تحركات — بالضبط كما صُممت. كان العطل موجوداً في الجزء السابق، في الكود الذي يخبر آلية التوقيع متعدد التواقيع بما يجب توقيعها. الخزانة المبنية جيداً، التي تتلقى تعليمات خاطئة، تفتح على أي حال.
ثم قام المهاجم بما يُعرف بـ "الشيء المشفر": رسالة OP_RETURN تحمل عبارة "نحن من القبعات البيضاء. تواصلوا معنا على السلسلة"، ومطالبة من Blockstream بتصحيح كل عقدة قبل إعادة أي شيء، وفي النهاية إعادة حوالي 3,400 بتكوين بعد نشر التصحيح. احتفظوا بـ 598.5 بتكوين — ما يعادل حوالي 47 مليون دولار — كرسوم حددوها لأنفسهم. عندما أبدت Blockstream تردداً، تحول النبرة إلى شيء قاسٍ: "عليك دفع 10٪ باستخدام أموالك الخاصة كمكافابة عن اكتشاف الثغرة، وإلا ستسبب لجميع حامليك خسارة بنسبة 15٪.".
لماذا يُعد هذا فشلاً في الثقة وليس فشلاً في الأمان؟
العرض الكامل لبيتكوين هو أنك لا تحتاج إلى الوثوق بأي شخص. مفاتيحك، عملاتك. ثم اصطدم بيتكوين بجدار: فهو بطيء، ومكلف، وسيئ في الخصوصية، لذا نشأت صناعة كاملة من "الطبقات الثانية" لإصلاح ذلك — وقد أعادت تقريباً جميعها استيراد الثقة بصمت.
Liquid هو المثال الأوضح. لاستخدامه، تودع البيتكوين في محفظة يتحكم فيها اتحاد من خمسة عشر شركة وتتلقى L-BTC مقابل ذلك. تحتفظ تلك الشركات بالبيتكوين الخاص بك. تنتهي حريتك في الاحتفاظ بعملاتك ذاتياً بمجرد بدء عملية الربط. إذا كان الاتحاد صادقاً وكان البرنامج صحيحاً، فكل شيء يعمل. إذا فشل أي منهما، فأنت تحمل وعداً بالسداد من كارتيل من البورصات.
هذا ليس سلسلة جانبية. هذه بنك بخطوات إضافية. وفي سبتمبر، خسر البنك 95% من خزائنه في 23 دقيقة — ليس بسبب سرقة، بل لأن برمجياته كانت تحتوي على عيب في حساباته.
هذه هي الحقيقة غير المريحة التي يكشف عنها الاختراق. قضى أنصار "ليس مفاتيحك" عقدًا من الزمن يسخرون من البورصات والوكلاء، فقط ليُبنى من قبل شركة البنية التحتية لبيتكوين الأكثر بروزًا منتجًا يكون نموذج أمانه بأكمله "ثق بهذه الشركات الخمس عشرة". لم يفشل التوقيع المتعدد. بل فشلت الثقة — الثقة بأن مجموعة صغيرة من الشركات ستحافظ على كود غير قابل للكسر، وأن الكود سيُراجع بعناية كما يتطلب خزينة بقيمة 320 مليون دولار.
من يفوز ومن يخسر هنا؟
المهاجم يفوز، على الأقل مؤقتًا: حوالي 598.5 BTC جالسة في محفظة يمكن للعالم كله مشاهدتها لكن لا أحد يستطيع لمسها، بينما تدعو Blockstream إلى إعادتها وتهدد بإجراء تحقيقات جنائية.
تخسر Blockstream على السجل السمعة حتى لو استعادت كل ساتوشي. هذه هي نفس الشركة التي، وفقًا للتقارير، تم تحذيرها من الثغرة قبل الاستغلال من قبل فريق بيتكوين الأحمر التطوعي — وهو ادعاء تنفيه Blockstream، ملقاة اللوم على العيب على ما تصفه بأنه إصلاح معيب بمساعدة الذكاء الاصطناعي. تلك التفاصيل، إذا ثبتت، هي قصة بحد ذاتها: احتمال أن يكون أداة برمجة بالذكاء الاصطناعي أدخلت عيبًا تشفيريًا في خزينة بقيمة 320 مليون دولار.
حاملو L-BTC هم الضحايا الحقيقيون. بعد أكثر من شهر من الهجوم، لا تزال عمليات السحب الخارجي — القدرة على استرداد L-BTC مقابل بيتكوين حقيقي — معلقة. يمكنك الاحتفاظ بـ L-BTC، لكن لا يمكنك بسهولة استخراج بيتكوينك. هذا هو تعريف الحساب المجمد، ويحدث ذلك على الشبكة التي تُباع على أنها الإجابة الأسرع والأكثر خصوصية لبيتكوين.
يفقد النظام البيئي الأوسع أيضاً شيئاً أدق: وهم أن "بتكوين L2" مشكلةٌ حُلت. ليست كذلك. إنها سلسلة من المفاضلات بين اللامركزية (عدم الثقة) وسهولة الاستخدام، وقد قيّمت Liquid هذه المفاضلات بـ 320 مليون دولار.
هل حدث هذا من قبل؟
نعم — والنمط مُفِيد. اختراق Liquid Global exchange عام 2021، واستغلال الجسور الذي نزّف DeFi لسنوات، وسرقات جسور Ronin وWormhole: السمة المتكررة ليست المفاتيح، بل الكود. تستمر الصناعة في التعامل مع التواقيع المتعددة (multisigs) والاتحادات (federations) على أنها الحد الأمني، بينما الحد الحقيقي هو البرمجية التي تغذّيها.
ما يختلف الآن هو الانعطافة التي يأخذها الأمر نحو "القبعات البيضاء". سحب الأموال أولاً ثم التفاوض لاحقاً — منهجية السحب ثم الإفصاح — أصبحت تكتيكاً متكرراً. قال تشارلز غويليميت، كبير مسؤولي التقنية في Ledger، بصراحة: الباحثون الصادقون يكشفون أولاً ويتركون للشركة أن تقرر. أي شيء آخر هو ابتزاز. قام مهاجم Liquid بالعكس ولا يزال يتوقع أن يُحتفى به.
إلى أين يتجه الطبقة الثانية من بيتكوين من هنا؟
الإجابة الصادقة هي أنها تنقسم إلى مسارين. المسار الأول هو تقليل الثقة: قنوات على غرار لايتنينغ، وفي النهاية، هياكل تشفير أكثر صرامة — مثل رول أبس وإثباتات الصحة — حيث يمكنك التحقق بدلاً من الثقة. المسار الآخر هو الاختصار الفيدرالي: سريع، وخاص، وسهل، لكنه آمن فقط بقدر ما تسمح به بضع شركات وكودها.
يعتبر اختراق Liquid تصويتاً لصالح المسار الأول وتحذيراً من المسار الثاني. لن تختفي السلاسل الجانبية الموحدة — فهي مريحة جداً للبورصات التي تشغلها — لكن تسويقها يحتاج إلى تنويه لن يطبعوه طواعية: "يتم تضمين مخاطر الحفظ.".
تواجه Blockstream نفسها سؤالاً أصعب. فهي في الوقت نفسه حافظة لفشل بقيمة 320 مليون دولار، الراعي لعقد SPAC لخزانة بقيمة 4 مليارات دولار انهار (وتزعم Cantor الآن وجود رسوم إنهاء بقيمة 15 مليون دولار)، والأم السابقة لعملية تعدين متورطة في دعاوى قضائية. الشركة التي علّمت بيتكوين "لا تثق، بل تحقق" تطلب الآن من العالم أن يثق بأنها يمكن أن تعوض حوالي 600 بيتكوين مفقودة بينما ميزانيتها العمومية تحت الضغط.
ماذا يعني هذا للمتداولين؟
الخلاصة العملية غير جذابة: افهم ما تملكه فعليًا. إذا كنت تحتفظ بـ L-BTC، فأنت لا تحتفظ ببيتكوين — بل تحتفظ بمطالبة على احتياطي اتحاد، وحاليًا هذه المطالبة غير مغطاة جزئيًا وغير قابلة للاسترداد. قيمة الربط تعتمد فقط على رغبة الاتحاد وقدرته على ضمان اكتمالها.
بشكل أوسع، تعامل مع ادعاءات "بتكوين L2" بنفس الشك الذي تطبقه على أي جهة حافظة. اسأل أين تُخزّن المفاتيح. اسأل من يمكنه تجميد سحبك. اسأل ما إذا كان نموذج الأمان يعتمد على "التحقق" أم "الثقة". الفرق بين النموذجين يقارب الفرق بين امتلاك البيتكوين وامتلاك إيصال بنكي.
حادث Liquid ليس سببًا للتخلي عن الطبقات الثانية. إنه سبب للتوقف عن التظاهر بأن جميعها متشابهة — والتوقف عن التظاهر بأن أيًا منها خالٍ من مخاطر الطرف المقابل التي وُلد بيتكوين للقضاء عليها.
السؤال الذي لا يريد أحد الإجابة عليه
تم بناء بيتكوين لكي لا تضطر إلى الوثوق في اتحاد من الغرباء بأموالك. تم بناء Liquid بواسطة شركة بيتكوين نفسها، وقامت بذلك بالضبط — ثم فقدت 95% من الخزينة في أقل من نصف ساعة.
السؤال ليس عما إذا كانت الـ 598.5 BTC المتبقية ستعود. السؤال هو عما إذا كانت صناعة تتغنى بـ "لا تثق، بل تحقق" مستعدة للاعتراف بأن طبقتها الثانية كانت دائماً تمريناً على الثقة — وما هي خططها للتعامل مع ذلك.
FAQ
ما هي شبكة Liquid؟ Liquid هي سلسلة جانبية (sidechain) لبيتكوين تعمل بنظام الاتحاد، وأطلقها Blockstream في عام 2018. يودع المستخدمون بيتكوين في محفظة يتحكم فيها اتحاد يتكون من حوالي خمسة عشر شركة — منصات تداول، وصناع سوق، وشركات بنية تحتية — ويتلقون مقابل ذلك L-BTC، مما يتيح تسويات أسرع وأكثر خصوصية بين المؤسسات.
هل تم اختراق بيتكوين نفسها؟ لا. لم تتأثر طبقة بيتكوين الأساسية أبداً. استغل الثغرة في Elements، البرنامج الذي يشغل Liquid، مما مكن من صك L-BTC غير المدعوم بأصول. لم يتم اختراق مفاتيح التوقيع الخاصة بالاتحاد؛ عملت وظيفة التوقيع المتعدد (multisig) تماماً كما صُممت.
كم تم سرقته، وكم عاد؟ تم سحب حوالي 4,000 BTC (ما يعادل حوالي 320 مليون دولار في ذلك الوقت) من احتياطي الاتحاد في 6 سبتمبر 2026. أعاد المهاجم حوالي 3,400 BTC (85%) بعد أن أصلح Blockstream الثغرة، محتفظاً بحوالي 598.5 BTC (~47 مليون دولار) كعقابية (bounty) حدد قيمتها بنفسه. صنفت TRM Labs (https://www.trmlabs.com/) هذه الحادثة كأكبر عملية اختراق للعملات المشفرة في عام 2026 حتى الآن.
لماذا لا تزال عمليات السحب معلقة؟ أبقت بلوكستريم وظيفة السحب (الانسحاب) معطلة بينما يستمر تدقيق مستقل لبرنامج Elements المصحح. يمكن لحاملي L-BTC إجراء المعاملات على Liquid ولكن لا يمكنهم استردادها بسهولة إلى سلسلة البيتكوين الرئيسية حتى يتم استعادة الاحتياطيات بالكامل.
ما هو موقف بلوكستريم بشأن "المكافأة"؟ رفضت بلوكستريم المطالبة، واصفةً احتجاز الأموال بأنه "سرقة، وليس إفصاحاً مسؤولاً"، وقالت إنها ستسعى لاستعادة الأموال من خلال إنفاذ القانون، والبورصات، والتحليل الجنائي للبلوكشين بدلاً من دفع فدية مقابل استعادة الممتلكات المسروقة.