De hack van het Liquid Network was geen diefstal van sleutels. Het blootlegde hoe de gefedereerde zijketens van Bitcoin echt werken, vergelijkbaar met banken. Wat de aftap van $320 miljoen betekent voor de tweede laag van BTC.
Bitcoin-zijketenbeveiliging is een mythe — Liquid heeft dit net bewezen
Op 6 september 2026 liep iemand weg met ongeveer 4.000 bitcoin — destijds ongeveer $320 miljoen — van het Liquid Network (https://liquid.net/), de vlaggenschip-zijketen gebouwd door Blockstream (https://blockstream.com/), het bedrijf opgericht door Adam Back, de cryptograaf wiens Hashcash wordt aangehaald in het Bitcoin-witboek. Er werden geen privésleutels gestolen. Er werd geen multisig gekraakt. De dief vond een subtiel bug in een stuk software, mintte bitcoin die niet bestond, en leegde 95% van de reserves van het netwerk in 23 minuten.
Dit is geen veiligheidsinbreuk zoals de meeste mensen zich dat voorstellen. Het is iets meer gênants: een bankrun op een systeem dat nooit een bank had hoeven te zijn.
Belangrijkste punten
- De Liquid-hack was een bug, geen inbraak: een range-proof cache-collision in Elements (https://github.com/ElementsProject/elements) stelde een aanvaller in staat ongedekte L-BTC te creëren en deze in te wisselen voor ongeveer 4.000 echte bitcoin.
- Liquid is een gefedereerde sidechain — een 11-of-15 multisig beheerd door ongeveer vijftien bedrijven. Dit is een trustmodel, geen "not your keys, not your coins."
- De zelfbenoemde "white hat" gaf 85% terug en hield ongeveer 598,5 BTC (~$47 miljoen) als een bounty die hij zichzelf toewees, waardoor de lijn tussen onthulling en afpersing vervaagde.
- Blockstream weigerde te betalen en voert tegelijkertijd strijd tegen een gefailleerde SPAC van $4 miljard en mijnbouwrechtszaken — terwijl L-BTC-houders nog steeds niet kunnen inwisselen terug naar de main chain.
Wat gebeurde er eigenlijk met Liquid?
De exploit was elegant in zijn eenvoud. Liquid draait op Elements, de open-source codebase die Blockstream onderhoudt. Een fout in hoe Elements "range proofs" cacht — de wiskunde die bewijst dat het bedrag van een vertrouwelijke transactie legitiem is — stelde de aanvaller in staat L-BTC te minten zonder bitcoin erachter. Deze nep-tokens werden vervolgens gerouteerd via SideSwap (https://sideswap.io/), een handelsplatform dat een peg-out-autorisatiesleutel bezit, en omgezet in echte bitcoin-opnames uit het reserve-wallet van de federatie.
De reserve daalde van ongeveer 4.200 BTC naar 197 BTC in minder dan een half uur.
Hier is het deel dat het meest belangrijk is: de ondertekenings sleutels van de federatie zijn nooit aangeraakt. De 11-of-15 multisig — vijftien bedrijven, waaronder beurzen en market makers, die gezamenlijk verplaatsingen moeten goedkeuren — functioneerde precies zoals ontworpen. De fout zat stroomopwaarts, in de code die de multisig vertelde wat het moest ondertekenen. Een goed gebouwde kluis, gevoed met slechte instructies, opent nog steeds.
De aanvaller deed vervolgens het crypto-ding: een OP_RETURN-bericht met de tekst "we are whitehats. contact us on chain," een eis dat Blockstream elke node zou patchen voordat er iets werd terugbetaald, en uiteindelijk een terugbetaling van ongeveer 3.400 BTC nadat de patch was uitgebracht. Ze hielden 598,5 BTC — ongeveer $47 miljoen — als een vergoeding die ze zichzelf toekenden. Toen Blockstream aarzelde, werd de toon hard: "Je ZAL 10% betalen met je eigen geld als bug bounty, anders veroorzaak je een verlies van 15% voor al je houders."
Waarom is dit een vertrouwenscrisis, geen beveiligingscrisis?
Het hele verhaal van Bitcoin is dat je niemand hoeft te vertrouwen. Jouw sleutels, jouw munten. Toen liep Bitcoin tegen een muur aan: het is traag, duur en slecht in privacy, dus er ontstond een hele industrie van 'second layers' om dat op te lossen — en bijna allemaal hebben ze stil vertrouwen teruggeïmporteerd.
Liquid is het zuiverste voorbeeld. Om het te gebruiken, stort je bitcoin in een wallet die wordt beheerd door een federatie van vijftien bedrijven en ontvang je L-BTC als tegenwaarde. Die bedrijven houden jouw bitcoin vast. Je self-custody eindigt op het moment dat de peg begint. Als de federatie eerlijk is en de software correct, werkt alles. Als een van beide faalt, houd je een IOU vast van een kartel van beurzen.
Dat is geen sidechain. Dat is een bank met extra stappen. En in september verloor de bank 95% van zijn kluis in 23 minuten — niet vanwege een overval, maar omdat zijn eigen software een fout in de rekenkunde had.
Dit is de ongemakkelijke waarheid die de hack blootlegt. De 'not your keys'-groep besteedde een decennium aan het belachelijk maken van exchanges en custodians, alleen om te zien hoe het meest prominente Bitcoin-infrastructuurbedrijf een product bouwt waarvan het hele beveiligingsmodel 'vertrouw deze vijftien bedrijven' is. De multisig faalde niet. Het vertrouwen faalde — het vertrouwen dat een kleine groep bedrijven onbreekbare code zou onderhouden, en dat de code zo zorgvuldig zou worden gecontroleerd als een kluis van $320 miljoen dat vereist.
Wie wint en wie verliest hier?
De aanvaller wint, voor nu: ongeveer 598,5 BTC die in een wallet zitten die de hele wereld kan bekijken, maar niemand kan aanraken, terwijl Blockstream smeekt om terugbetaling en forensisch onderzoek dreigt.
Blockstream verliest op het reputatieboek, zelfs als het elke satoshi terugkrijgt. Dit is hetzelfde bedrijf dat, volgens berichten, voorafgaand aan de exploitatie werd gewaarschuwd voor de kwetsbaarheid door het vrijwillige Bitcoin Red Team — een bewering die Blockstream betwist, en de bug toeschrijft aan wat het een gebrekkige door AI ondersteunde fix noemt. Dat detail, als het klopt, is op zich al een verhaal: de mogelijkheid dat een AI-codingtool een cryptografische bug heeft geïntroduceerd in een kluis van $320 miljoen.
L-BTC-houders zijn de echte slachtoffers. Meer dan een maand na de aanval zijn peg-outs — de mogelijkheid om L-BTC terug te wisselen voor echte bitcoin — nog steeds opgeschort. Je kunt L-BTC vasthouden, maar je kunt je bitcoin niet makkelijk eruit halen. Dat is de definitie van een bevroren rekening, en dit gebeurt op het netwerk dat wordt verkocht als Bitcoin's snellere, meer privacy-gerichte antwoord.
Het bredere ecosysteem verliest ook iets subtielers: de fantasie dat "Bitcoin L2" een opgelost probleem is. Dat is het niet. Het is een reeks afwegingen tussen vertrouwenloosheid en bruikbaarheid, en Liquid heeft die afwegingen gewoonweg $320 miljoen laten kosten.
Is dit eerder gebeurd?
Ja — en het patroon is leerzaam. De hack van de Liquid Global-beurs in 2021, de bridge-exploits die DeFi al jaren leegzuigen, de diefstallen bij Ronin en Wormhole: het terugkerende thema zijn geen sleutels, maar code. De industrie blijft multisigs en federaties behandelen als de beveiligingsgrens, terwijl de werkelijke grens de software is die ze voedt.
Wat nu anders is, is de 'white hat'-draai. Gelden eerst leeghalen en daarna onderhandelen — het drain-then-disclose-spelboek — wordt een herhaalbare tactiek. Ledger CTO Charles Guillemet stelde het scherp: eerlijke onderzoekers onthullen eerst en laten het bedrijf beslissen. Alles anders is afpersing. De Liquid-aanvaller deed het omgekeerde en verwacht nog steeds gevierd te worden.
Waar gaat Bitcoin's Second Layer vandaan?
Het eerlijke antwoord is dat het opsplits in twee paden. Het ene pad is trust-minimized: Lightning-achtige kanalen en, uiteindelijk, meer rigoureuze cryptografische constructies — rollups, validiteitsbewijzen — waar je kunt verifiëren in plaats van vertrouwen. Het andere pad is de gefedereerde afkorting: snel, privé en eenvoudig, maar slechts zo veilig als een handvol bedrijven en hun code.
De Liquid-hack is een stem voor het eerste pad en een waarschuwing voor het tweede. Gederiveerde sidechains zullen niet verdwijnen — ze zijn te handig voor de beurzen die ze beheren — maar hun marketing heeft een disclaimer nodig die ze nooit vrijwillig zullen afdrukken: 'custodial risk included.'
Blockstream zelf staat voor een moeilijkere vraag. Het is tegelijkertijd de bewaarder van een falen van $320 miljoen, de sponsor van een SPAC voor een schatkist van $4 miljard die instortte (Cantor eist nu een beëindigingsvergoeding van $15 miljoen), en de voormalige moeder van een mijnbouwbedrijf dat verstrengeld is in rechtszaken. Het bedrijf dat Bitcoin 'don't trust, verify' leerde, vraagt de wereld nu om te vertrouwen dat het ongeveer 600 ontbrekende bitcoin kan compenseren terwijl zijn eigen balans onder druk staat.
Wat betekent dit voor handelaren?
De praktische les is onglamourieus: begrijp wat je daadwerkelijk bezit. Als je L-BTC vasthoudt, houd je geen bitcoin vast — je houdt een vordering op een reserve van een federatie vast, en op dit moment is die vordering gedeeltelijk niet gedekt en niet inwisselbaar. De peg is slechts zo goed als de bereidheid en het vermogen van de federatie om de waarde te waarborgen.
Behandel claims over 'Bitcoin L2' in bredere zin met hetzelfde scepticisme dat je zou toepassen op elke bewaarder. Vraag waar de sleutels zijn opgeslagen. Vraag wie je opname kan bevriezen. Vraag of het beveiligingsmodel 'verify' of 'trust' is. Het verschil tussen de twee is ongeveer hetzelfde als het verschil tussen het vasthouden van bitcoin en het vasthouden van een bankbewijs.
De Liquid-incident is geen reden om second layers te verlaten. Het is een reden om te stoppen met de schijn dat ze allemaal hetzelfde zijn — en om te stoppen met de schijn dat ze allemaal vrij zijn van het tegenpartijrisico waarvoor Bitcoin werd uitgevonden.
De vraag die niemand wil beantwoorden
Bitcoin is gebouwd zodat je geen vreemde federatie hoeft te vertrouwen met je geld. Liquid is gebouwd door Bitcoin's eigen bedrijf, en dat deed het precies — maar verloor 95% van de kluis in minder dan een half uur.
De vraag is niet of de resterende 598,5 BTC terugkomt. De vraag is of een industrie die predikt "vertrouw niet, verifieer" bereid is toe te geven dat zijn tweede laag al die tijd een trust-oefening was — en wat het van plan is om daar aan te doen.
FAQ
Wat is het Liquid Network? Liquid is een gefedereerde Bitcoin-sidechain, gelanceerd door Blockstream in 2018. Gebruikers storten bitcoin in een wallet die wordt beheerd door een federatie van ongeveer vijftien bedrijven — beurzen, market makers en infrastructuurfirma's — en ontvangen L-BTC in ruil, wat snellere en meer vertrouwelijke afwikkeling tussen instellingen mogelijk maakt.
Was Bitcoin zelf gehackt? Nee. De Bitcoin-basellaag is nooit aangetast. De exploit zat in Elements, de software die Liquid draait, en stelde de minting van niet-ondersteunde L-BTC mogelijk. Geen enkele federatieve ondertekenings sleutels waren gecompromitteerd; de multisig-functie werkte precies zoals ontworpen.
Hveel er werd gestolen, en hoeveel er terugkwam? Ongeveer 4.000 BTC (ongeveer $320 miljoen op dat moment) werd op 6 september 2026 leeggehaald uit de federatieve reserve. De aanvaller gaf ongeveer 3.400 BTC (85%) terug nadat Blockstream de bug had gepatcht, en hield ongeveer 598,5 BTC (~$47 miljoen) als een zelf toegekende bounty. TRM Labs (https://www.trmlabs.com/) rangschikte het als de grootste crypto-hack van 2026 tot nu toe.
Waarom zijn peg-outs nog steeds opgeschort? Blockstream hield de peg-out-functie (opname) uitgeschakeld terwijl een onafhankelijke audit van de gepatchte Elements-software doorgaat. Houders van L-BTC kunnen transacties uitvoeren op Liquid, maar kunnen niet eenvoudig terugwisselen naar de hoofd-Bitcoin-blockchain totdat de reserves volledig zijn hersteld.
Wat is de positie van Blockstream ten aanzien van de 'bounty'? Blockstream wees het verzoek af en noemde het inhouden van fondsen 'diefstal, geen verantwoord disclosure', en zei dat het herstel zou nastreven via rechtshandhaving, beurzen en blockchain-forensiek in plaats van losgeld te betalen voor de terugkeer van gestolen eigendom.