लिक्विड नेटवर्क हैक कुंजी चोरी नहीं थी। इसने यह उजागर किया कि बिटकॉइन के फेडरेटेड साइडचेन वास्तव में बैंकों की तरह कैसे काम करते हैं। BTC के दूसरे परत के लिए $320M के निचोड़ का क्या अर्थ है।
बिटकॉइन साइडचेन सुरक्षा एक मिथक है — लिक्विड ने इसे सिद्ध कर दिया
6 सितंबर, 2026 को, किसी ने लगभग 4,000 bitcoin अपने साथ ले लिया, जो उस समय लगभग $320 million का था — Liquid Network (https://liquid.net/) से, जो Blockstream (https://blockstream.com/) द्वारा बनाया गया मुख्य sidechain है, कंपनी जिसकी स्थापना एडम बैक ने की थी, एक cryptographer हैं जिनका Hashcash बिटकॉइन के whitepaper में उद्धृत किया गया है। कोई निजी कुंजी चोरी नहीं हुई। कोई multisig क्रैक नहीं हुआ। चोर ने सॉफ्टवेयर के एक हिस्से में एक सूक्ष्म बग पाया, बिटकॉइन mint किया जो मौजूद नहीं था, और 23 मिनट में नेटवर्क के भंडार का 95% खाली कर दिया।
यह सुरक्षा लंघन नहीं है जैसा कि ज्यादातर लोग कल्पना करते हैं। यह कुछ और शर्मनाक है: एक ऐसी प्रणाली पर बैंक रन, जिसकी कभी बैंक की जरूरत नहीं थी।
मुख्य बिंदु
- द लिक्विड हैक एक बग था, ब्रेक-इन नहीं: एलिमेंट्स (https://github.com/ElementsProject/elements) में एक रेंज-प्रूफ कैश कॉलिजन ने हमलावर को अनबैक्ड एल-बीटीसी बनाने और लगभग 4,000 वास्तविक बिटकॉइन के लिए उसे रीडिम करने की अनुमति दी।
- लिक्विड एक फेडरेटेड साइडचेन है — लगभग पंद्रह कंपनियों द्वारा संचालित 11-ऑफ-15 मल्टिसिग। यह एक ट्रस्ट मॉडल है, "नोट योर कीज़, नोट योर कॉइन्स" नहीं।
- खुद को "व्हाइट हैट" कहने वाले ने 85% लौटा दिया और लगभग 598.5 BTC (~$47 मिलियन) को एक बौंटी के रूप में रखा जिसे उसने स्वयं को सौंपा, जिससे डिस्क्लोजर और एक्सटॉर्शन के बीच की रेखा धुंधली हो गई।
- ब्लॉकस्ट्रीम ने भुगतान करने से मना कर दिया और एक साथ एक ढह रहे $4 बिलियन SPAC और माइनिंग मुकदमों से लड़ रहा है — जबकि एल-बीटीसी धारक अभी भी मुख्य चेन पर रीडिम नहीं कर पा रहे हैं।
लिक्विड के साथ वास्तव में क्या हुआ?
एक्सप्लॉइट अपनी सरलता में उत्कृष्ट था। लिक्विड एलिमेंट्स पर चलता है, जो ओपन-सोर्स कोडबेस है जिसे ब्लॉकस्ट्रीम बनाए रखता है। एलिमेंट्स के "रेंज प्रूफ्स" को कैश करने के तरीके में एक दोष — जो एक गोपनीय लेनदेन के राशि के वैध होने का गणितीय प्रमाण है — ने हमलावर को उसके पीछे बिटकॉइन के बिना एल-बीटीसी मिनट करने की अनुमति दी। उन नकली टोकन को फिर साइडस्वैप (https://sideswap.io/) के माध्यम से रूट किया गया, जो एक ट्रेडिंग प्लेटफॉर्म है जो एक पेग-आउथ ऑथोराइजेशन कुंजी रखता है, जिन्हें फेडरेशन के रेजर्व वॉलेट से वास्तविक बिटकॉइन निकासी में बदल दिया गया।
रिजर्व आधा घंटे से भी कम समय में लगभग 4,200 BTC से घटकर 197 BTC हो गया।
यहाँ सबसे महत्वपूर्ण हिस्सा यह है: फेडरेशन के साइनिंग कुंजियों को कभी छुआ नहीं गया। 11-ऑफ-15 मल्टीसिग — एक्सचेंज और मार्केट मेकर सहित पंद्रह कंपनियों का समूह जिसके सभी को चालों को सहमति देनी होती है — बिल्कुल डिज़ाइन के अनुसार काम किया। विफलता ऊपर, उस कोड में थी जो मल्टीसिग को यह बताती थी कि क्या साइन करना है। एक अच्छी तरह से बना वैल्ट, बुरे निर्देशों से भरा गया, फिर भी खुल जाता है।
आक्रामक ने फिर क्रिप्टो चीज़ की: एक OP_RETURN संदेश जिसमें "हम व्हाइटहैट हैं। हमसे चेन पर संपर्क करें," लिखा था, ब्लूकस्ट्रीम को हर नोड को पैच करने की मांग की गई, कुछ भी वापस करने से पहले, और अंत में लगभग 3,400 BTC की वापसी की गई जब पैच जारी हुआ। उन्होंने 598.5 BTC — लगभग $47 मिलियन — एक फीस के रूप में रखे जो उन्होंने खुद निर्धारित की थी। जब ब्लूकस्ट्रीम ने विरोध किया, तो टोन बदल गया: "आपको अपनी खुद की राशि का उपयोग करके 10% भुगतान करना होगा बग बाउंटी के रूप में या आप अपने सभी होल्डर्स को 15% की हानि का कारण बनेंगे।"
यह एक भरोसा विफलता क्यों है, सुरक्षा विफलता नहीं?
बिटकॉइन का पूरा प्रस्ताव यह है कि आपको किसी पर भरोसा करने की जरूरत नहीं है। आपकी कुंजियाँ, आपकी सिक्के। फिर बिटकॉइन एक दीवार से टकराया: यह धीमा, महंगा है, और गोपनीयता में खराब है, इसलिए उसकी मरम्मत के लिए "दूसरे स्तरों" की एक पूरी उद्योग उभरा — और लगभग सभी ने चुपचाप भरोसा को फिर से आयात किया।
लिक्विड सबसे शुद्ध उदाहरण है। उपयोग करने के लिए, आप ब्लूकस्ट्रीम के वॉलेट में बिटकॉइन जमा करते हैं और बदले में L-BTC प्राप्त करते हैं। वे कंपनियाँ आपका बिटकॉइन रखती हैं। आपकी स्वयं की सुरक्षा उस क्षण समाप्त हो जाती है जब पेग शुरू होता है। यदि फेडरेशन ईमानदार है और सॉफ्टवेर सही है, तो सब कुछ काम करता है। यदि कोई भी विफल होता है, तो आप एक्सचेंजों के कार्टेल से एक IOU रख रहे हैं।
यह साइडचेन नहीं है। यह एक बैंक है जिसमें अतिरिक्त कदम हैं। और सितंबर में, उस बैंक ने 23 मिनट में अपने वॉल्ट का 95% हिस्सा खो दिया — चोरी की वजह से नहीं, बल्कि क्योंकि उसका अपना सॉफ़्टवेयर अपने अंकगणित में दोषपूर्ण था।
यह वह असहज सच्चाई है जो हैक को उजागर करती है। "नॉट योर कीज़" वाले समुदाय ने एक दशक तक एक्सचेंजों और कस्टोडियंस का मज़ाक उड़ाया, केवल इसलिए कि सबसे प्रमुख बिटकॉइन इंफ्रास्ट्रक्चर कंपनी ने एक ऐसा उत्पाद बनाया जिसका पूरा सुरक्षा मॉडल "इन पंद्रह कंपनियों पर भरोसा करो" है। मल्टीसिग विफल नहीं हुआ। भरोसा विफल हुआ — भरोसा कि कंपनियों का एक छोटा समूह टूटने-अयोग्य कोड बनाए रखेगा, और कोड की समीक्षा $320 मिलियन के वॉल्ट की मांग के अनुसार सावधानी से की जाएगी।
यहाँ कौन जीतता है और कौन हारता है?
आक्रामक वर्तमान में जीतता है: लगभग 598.5 BTC एक वॉलेट में बैठा है जिसे पूरा दुनिया देख सकती है लेकिन कोई छू नहीं सकता, जबकि ब्लॉकस्ट्रीम उसकी वापसी की प्रार्थना कर रहा है और फोरेंसिक्स की धमकी दे रहा है।
ब्लॉकस्ट्रीम प्रतिष्ठा के लेजर पर हारता है, भले ही वह हर सैटोशी को बहाल कर ले। यह वही कंपनी है जो, रिपोर्ट्स के अनुसार, एक्सप्लॉयट से पहले ही वॉलनेटियर बिटकॉइन रेड टीम द्वारा कमजोरी के बारे में चेतावनी दी गई थी — एक दावा जिसे ब्लॉकस्ट्रीम खारिज करता है, और बग को उस चीज़ पर थोपता है जिसे वह "दोषपूर्ण एआई-सहायक फिक्स" कहता है। वह विवरण, यदि सही साबित होता है, तो अपनी कहानी है: यह संभावना कि एक एआई कोडिंग टूल ने $320 मिलियन के वॉल्ट में एक क्रिप्टोग्राफिक बग पेश किया।
L-BTC धारक वास्तविक हताहत हैं। हमले के एक महीने से अधिक समय बाद, पेग-आउट्स — L-BTC को वापस असली बिटकॉइन में रीडीम करने की क्षमता — निलंबित रहती हैं। आप L-BTC रख सकते हैं, लेकिन आप अपने बिटकॉइन को आसानी से बाहर नहीं निकाल सकते। यह फ्रीज़ अकाउंट की परिभाषा है, और यह उस नेटवर्क पर हो रहा है जिसे बिटकॉइन के तेज़, अधिक निजी उत्तर के रूप में बेचा जाता है।
व्यापक पारिस्थितिकी तंत्र को कुछ बारीक चीज़ भी खो रही है: यह कल्पना कि "बिटकॉइन L2" एक हल की गई समस्या है। ऐसा नहीं है। यह विश्वसनीयता और उपयोगिता के बीच एक श्रृंखला है, और लिक्विड ने उन समझौतों को $320 मिलियन पर मूल्य निर्धारित किया।
क्या ऐसा पहले भी हुआ है?
हाँ — और पैटर्न शिक्षाप्रद है। 2021 के लिक्विड ग्लोबल एक्सचेंज हैक, ब्रिज एक्सप्लॉइट्स जो वर्षों से DeFi को खाली कर रहे हैं, रोनिन और वर्महोल ब्रिज चोरी: दोहराव वाली थीमा कुंजियाँ नहीं, कोड हैं। उद्योग मल्टीसिग्स और फेडरेशन को सुरक्षा सीमा के रूप में देखता रहता है, जबकि वास्तविक सीमा वह सॉफ्टवेयर है जो उन्हें पोषित करता है।
अब अलग बात यह है कि "व्हाइट हैट" ट्विस्ट है। पहले फंड्स निकालना और बाद में बातचीत करना — ड्रेन-थेन-डिस्क्लोज प्लेबुक — एक दोहराव वाली रणनीति बन रहा है। लेजर सीटीओ चार्ल्स गिल्लेमेट ने स्पष्ट रूप से कहा: ईमानदार शोधकर्ष पहले खुलासा करते हैं और कंपनी को निर्णय लेने देते हैं। कुछ भी अन्य ब्लैकमेल है। लिक्विड हमलावर ने इसके विपरीत किया और अभी भी जश्न मनाने की उम्मीद कर रहा है।
बिटकॉइन का दूसरा परत अब कहाँ जाए?
ईमानदार जवाब यह है कि यह दो रास्तों में बंट जाता है। एक रास्ता विश्वसनीयता-न्यूनतम है: लाइटनिंग-शैली चैनल और, अंततः, अधिक कठोर क्रिप्टोग्राफिक संरचनाएँ — रोलअप, वैलिडिटी प्रूफ — जहाँ आप विश्वास करने के बजाय सत्यापन कर सकते हैं। दूसरा रास्ता फेडरेटेड शॉर्टकट है: तेज़, निजी और आसान, लेकिन केवल कुछ कंपनियों और उनके कोड जितना सुरक्षित।
Liquid हैक पहले मार्ग के लिए एक वोट है और दूसरे के बारे में एक चेतावनी। संघीय साइडचेन गायब नहीं होंगे — वे उन्हें चलाने वाले एक्सचेंजों के लिए बहुत सुविधाजनक हैं — लेकिन उनके मार्केटिंग को एक डिस्क्लेमर की आवश्यकता है जिसे वे स्वैच्छिक रूप से कभी प्रिंट नहीं करेंगे: "कस्टोडियल रिस्क शामिल।"
Blockstream के सामने एक कठिन सवाल है। यह एक $320 मिलियन की विफलता का कस्टोडियन है, एक $4 बिलियन के ट्रेजरी SPAC का स्पॉन्सर है जो विफल हो गया (Cantor अब $15 मिलियन के टर्मिनेशन फी का दावा करता है), और एक खनन संचालन का पूर्व माता-पिता है जो मुकदमों में उलझा हुआ है। वह कंपनी जिसने बिटकॉइन को "भरोसा न करें, सत्यापित करें" सिखाया, अब दुनिया से यह भरोसा करने का अनुरोध कर रही है कि यह लगभग 600 गायब बिटकॉइन को पूरा कर सकती है, जबकि उसका अपना बैलेंस शीट दबाव में है।
ट्रेडर्स के लिए इसका क्या अर्थ है?
व्यावहारिक निष्कर्ष अनाकर्षक है: समझें कि आप वास्तव में क्या रखते हैं। यदि आप L-BTC रख रहे हैं, तो आप बिटकॉइन नहीं रख रहे — आप एक संघ के रिजर्व पर एक दावा रख रहे हैं, और अभी वह दावा आंशिक रूप से अनाधारित और अविनिमय्य है। पेग उतना ही अच्छा है जितना संघ का उसे पूरा करने की इच्छा और क्षमता।
और व्यापक रूप से, किसी भी कस्टोडियन पर जो शंका लागू करेंगे, उसी शंका के साथ "बिटकॉइन L2" दावों को देखें। पूछें कि कुंजियां कहाँ रहती हैं। पूछें कि आपकी निकासी को कौन फ्रीज कर सकता है। पूछें कि सुरक्षा मॉडल "सत्यापित" है या "भरोसा"। इन दोनों के बीच का अंतर लगभग बिटकॉइन रखने और एक बैंक रसीद रखने के बीच के अंतर जैसा है।
Liquid घटना दूसरे परतों को त्यागने का कारण नहीं है। यह एक कारण है कि हम यह नाटक करना बंद करें कि वे सभी एक जैसे हैं — और यह नाटक करना बंद करें कि उनमें से कोई भी वह काउंटरपार्टी रिस्क से मुक्त है जिसके खत्म करने के लिए बिटकॉइन का आविष्कार किया गया था।
वह सवाल जिसका कोई जवाब देना नहीं चाहता
बिटकॉइन इस लिए बनाया गया था ताकि आपको अपने पैसे किसी अजनबियों के संघ पर भरोसा न करना पड़े। लिक्विड बिटकॉइन की अपनी कंपनी द्वारा बनाया गया था, और इसने बिल्कुल वही किया — फिर आधे घंटे से भी कम समय में अपने वॉल्ट का 95% हिस्सा खो दिया।
सवाल यह नहीं है कि शेष 598.5 BTC वापस आएंगे या नहीं। सवाल यह है कि क्या "भरोसा मत करो, सत्यापन करो" का प्रचार करने वाला उद्योग यह स्वीकार करने के लिए तैयार है कि उसका दूसरा परत शुरू से ही भरोसे का अभ्यास रहा है — और इसके बारे में वह क्या करने की योजना बना रहा है।
FAQ
Liquid नेटवर्क क्या है? Liquid ब्लॉकस्ट्रीम द्वारा 2018 में लॉन्च किया गया एक फेडरेटेड बिटकॉइन साइडचेन है। उपयोगकर्ता लगभग पंद्रह कंपनियों के एक संघ द्वारा नियंत्रित वॉलेट में बिटकॉइन जमा करते हैं — एक्सचेंज, मार्केट मेकर और इंफ्रास्ट्रक्चर फर्म — और इसके बदले में L-BTC प्राप्त करते हैं, जिससे संस्थाओं के बीच तेज़ और अधिक गोपनीय सेटलमेंट संभव होता है।
क्या बिटकॉइन को ही हैक किया गया था? नहीं। बिटकॉइन का बेस लेयर कभी प्रभावित नहीं हुआ। एक्सप्लॉइट एलिमेंट्स में था, जो लिक्विड को चलाने वाला सॉफ़्टवेयर है, और इसने अनबैक्ड एल-बीटीसी के मिंटिंग की अनुमति दी। कोई फेडरेशन साइनिंग कीजें हैंक नहीं हुईं; मल्टीसिग फंक्शन बिल्कुल डिज़ाइन के अनुसार काम किया।
कितना लिया गया और कितना वापस आया? लगभग 4,000 BTC (उस समय के अनुसार लगभग $320 मिलियन) की राशि 6 सितंबर, 2026 को संघीय निधि खजाने से निकासी की गई। हमलावर ने Blockstream के बग को ठीक करने के बाद लगभग 3,400 BTC (85%) वापस कर दिया और लगभग 598.5 BTC (~$47 मिलियन) को एक स्वयं-निर्धारित इनाम के रूप में रखा। TRM Labs (https://www.trmlabs.com/) ने इसे 2026 में अब तक का सबसे बड़ा क्रिप्टो हैक माना।
पेग-आउट अभी भी निलंबित क्यों हैं? ब्लॉकस्ट्रीम ने पैच्ड एलिमेंट्स सॉफ्टवेयर के स्वतंत्र ऑडिट के दौरान पेग-आउट (निकासी) फ़ंक्शन को अक्षर रखे हुए है। एल-बीटीसी धारक लिक्विड पर लेनदेन कर सकते हैं, लेकिन जब तक रिज़र्व पूरी तरह से पुनर्स्थापित नहीं हो जाते, तब तक आसानी से मुख्य बिटकॉइन चेन पर वापस रीडिम नहीं कर सकते।
ब्लॉकस्ट्रीम का "बounty" पर क्या स्थिति है? ब्लॉकस्ट्रीम ने मांग को अस्वीकार कर दिया, धन को रोकने को "चोरी, जिम्मेदार खुलासा नहीं" कहते हुए, और चोरी की गई संपत्ति के वापसी के लिए खरिदारी करने के बजाय कानून प्रवर्तन, एक्सचेंज और ब्लॉकचेन फोरेंसिक्स के माध्यम से पुनर्प्राप्ति का पीछा करने का कहा।