The Liquid Network verloor $319M aan een zichzelf beschrijvende "white hat"-hack — en het echte verhaal is dat de brug-economie van crypto draait op ongepatchte code terwijl chantage herbrand wordt als beloningsjacht.
Crypto's 'White Hat'-hack is chantage met een persbericht
Op 6 september 2026 haalde iemand ongeveer $319 miljoen in bitcoin uit het Liquid Network — en vroeg daarna om gedankt te worden. De aanvaller mintte bijna 4,000 bitcoin-backed tokens door een softwarefout, trok 95 procent van de reserves van het netwerk in minder dan veertig minuten, en bracht het grootste deel van het geld alleen terug nadat Blockstream de code had gepatcht. Crypto-media greep naar zijn favoriete label: "white hat." Wat er eigenlijk gebeurde was ouder en lelijker: een crypto white hat hack die eigenlijk chantage was in een persbericht verpakt.
Kernpunten
- Liquid Network, Blockstreams Bitcoin-sidechain, verloor ongeveer 4,019 BTC ($319 miljoen) op 6 september 2026 — 95% van zijn federatiereserve — door een softwarefout, niet door een gestolen sleutel.
- De aanvaller identificeerde zichzelf als een "white hat," bracht ongeveer 85% ($272 miljoen) terug, en hield 598.5 BTC (ongeveer $47 miljoen) — meer dan de 10% "bounty" die ze hadden geëist.
- Een fix voor de onderliggende cache-bug werd op 3 augustus geschreven en zat in een development branch terwijl productie software draaide die vijf maanden achterliep.
- Blockstream weigerde te betalen, noemde het diefstal, en dreigde met de politie. Ledger's CTO noemde het "extortie, geen white-hat hacking."
- 2026 heeft al een record van 333 crypto-diefstalincidenten gezien, waaronder 26 bridge- en sidechain-aanvallen — een stijging ten opzichte van 3 in heel 2025.
Hoe steel je $319 miljoen zonder maar één sleutel aan te raken?
De mechaniek is belangrijk, want ze breekt met crypto's oudste veiligheidsveronderstelling. Liquid is een gefedereerde Bitcoin-sidechain die wordt uitgevoerd door Blockstream en beheerd door een 11-van-15 multisig verspreid over meer dan 80 exchanges en trading desks. Gebruikers vergrendelen bitcoin om L-BTC te minten, en lossen het daarna weer in. Op 6 september exploiteerde een aanvaller een cache-botsingsbug in Elements, de open-source codebasis die Liquid draait, om ongeveer 3.998 L-BTC te conjureren zonder echte bitcoin erachter.
De ondertekenaars van de federatie keurden vervolgens een peg-out-verzoek goed dat volledig legitiem leek — omdat Elements een frauduleuze claim niet van een echte kon onderscheiden. Geen privésleutel werd gestolen. Geen server werd gecompromitteerd. Geen social engineering. Alleen een keten van software die een leugen verifieerde. Van het betwiste blok tot de uitbetaling duurde 36 minuten. De federatiereserve daalde van ongeveer 4.200 BTC naar 197 BTC in één transactie.
Blockstream's eigen verklaring stelde dat de SideSwap-autorisatiesleutel "niet was gecompromitteerd, noch enige andere." Die regel scheidt dit van bijna elke bridge-hack van de afgelopen drie jaar. De Ronin Bridge, Wormhole en de Bybit-drain waren allemaal sleutel-diefstalverhalen. Dit was een correctheidsverhaal — en correctheid is de falenmodus waar crypto het minst voor toegerust is om over te praten.
Waarom zat een fix in een branch terwijl productie kwetsbare code draaide?
Hier is het detail dat elke institutionele compliance-officier wakker zou moeten houden. Een onafhankelijke reconstructie door DeFiPrime vond dat een Blockstream-ingenieur een fix schreef die een cache-sleutel koppelde aan het juiste asset op 3 augustus — vijf weken voor de exploit. Die wijziging kwam in de development branch op 3 september, drie dagen voordat het geld verplaatst werd. De pull request om het in de stable release branch te brengen werd geopend op 4 september en samengevoegd op 6 september om 17:21 UTC — minder dan drie uur na de uitbetaling die on-chain bevestigd was.
De versie die federatieleden daadwerkelijk in productie draaiden was 23.3.3, gedateerd 13 april. Bijna vijf maanden oud. De noodfix werd later uitgeleverd als Elements v23.3.4.
Dit is de onsexy waarheid over crypto-beveiliging in 2026: de cryptografie is prima. De consensus is prima. Het probleem is releasediscipline — of een patch die iemand al schreef daadwerkelijk de box bereikt die een miljard dollar bevat. Geen hardware security module, geen multisig-drempel, geen keyseremonie vangt dat op. Een handtekening is waardeloos als het ding dat geverifieerd wordt nooit waar was om te beginnen.
Is een $47 miljoen "bounty" nog steeds een bounty?
De aanvaller voegde "we are whitehats. contact us on chain" toe in het OP_RETURN-veld van een Bitcoin-transactie, onderhandelde daarna met Blockstream via versleutelde on-chain berichten, met als eis dat elke node gepatcht werd voordat gelden terugkeerden. Ze vroegen een 10% beloning — ruwweg $40 miljoen — betaald uit Blockstream's eigen kas, en waarschuwden dat "liquidators" anders verliezen van ongeveer 15% konden lijden.
Na de patch stuurden ze ongeveer 3,400 BTC terug — ruwweg $272 miljoen — en hielden ze 598.5 BTC, ongeveer $47 miljoen. Dat is meer dan de 10% die ze vroegen, en ruwweg vijf keer de grootste bug bounty die de ooit heeft betaald. Immunefi's recorduitbetaling is $10 miljoen.
Noem het maar hoe je wilt. Een legitieme bug bounty begint niet met het leegmaken van 95 procent van een reserveportemonnee, en eindigt niet met de "onderzoeker" die een groter deel houdt dan het cijfer dat ze noemden. De volgorde — neem alles, houd het gegijzeld, dicteer de hersteltermijn, geef het grootste deel terug maar niet alles — is geen beveiligingsonderzoek. Het is een losgeldonderhandeling waarbij de ontvoerder zijn eigen Wikipedia‑artikel mocht schrijven.
En de industrie zelf weet het. Blockstream weigerde te betalen en zei dat het nemen van activa zonder toestemming en het weigeren ze terug te geven "diefstal is, geen verantwoordelijke kwetsbaarheidsmelding," en beloofde samen te werken met wetshandhaving en blockchain‑forensische experts. Ledger‑CTO Charles Guillemet was scherper: "Als dit ooit een onderhandelde beloning was... lijkt het meer op afpersing dan op white‑hat‑hacken."
Toch was de standaardkop nog steeds "white hats saved the network." Dat is het gevaarlijkste deel van dit verhaal. We hebben nu een generatie aanvallers geleerd dat de optimale exploit is: steel alles, claim een white‑hat‑badge, houd een deel, en laat het PR‑team van het slachtoffer de rest doen.
Waarom zijn bruggen en sidechains plotseling de zachte onderbuik?
Liquid is geen geïsoleerd geval. Het is de top van een trend. TRM Labs telt ongeveer $1.73 billion gestolen in 333 incidenten in 2026 tot nu toe — een recordaantal incidenten, zelfs terwijl de gemiddelde buit krimpt. Zesentwintig van die aanvallen troffen cross-chain bridges en interoperabiliteitstools, omhoog van drie in heel 2025. In dezelfde week als Liquid verloor Symbiosis $336,000 aan een bridge exploit die 46 billion nep‑syBTC‑tokens creëerde — meer dan 2,000 keer de werkelijke Bitcoin‑voorraad — en Nomic verloor $3.1 million aan een onbeveiligde cross-chain mint.
Het patroon is onmiskenbaar. De spectaculaire half‑billion-dollar brugovervallen van 2022 hebben plaatsgemaakt voor een constante motregen van kleinere, industriële schaal onbeveiligde-mint-exploits. Dat is wellicht erger. Eén catastrofale gebeurtenis veroorzaakt een crisis en een oplossing. Duizend kleine lekken normaliseren het bloeden. En ze convergeren allemaal op dezelfde architecturale waarheid: elke sidechain, bridge en synthetische-bitcoin-wrapper rust op de veronderstelling dat gepaarde tokens altijd volledig onderpand hebben. Liquid heeft zojuist bewezen dat die veronderstelling één cache‑bug verwijderd is van fictie.
Wie wint en wie verliest?
De verliezers zijn duidelijk. De reputatie van Blockstream als bewaardingsinfrastructuur van institutionele kwaliteit kreeg een directe klap, en de meer dan 80 federatieleden leerden dat hun multisig hen niet beschermde tegen het falen dat daadwerkelijk plaatsvond. De bredere institutionele stelling — dat bitcoin kan worden verpakt, overbrugd en getokeniseerd naar de traditionele financiële sector als onberispelijke onderpand — kreeg een stille klap. Liquid hield ongeveer 5 miljard dollar aan waarde vast in de vorm van getokeniseerde Amerikaanse staatsobligaties, bedrijfschulden en andere werkelijke activa. Als de infrastructuur die waarde sneller verplaatst dan de basisketen blijft lekken, begint het verhaal van "bitcoin als onderpand" dat bankstablecoins en getokeniseerde afwikkeling onderbouwt, kwetsbaar te lijken.
De winnaars zijn duisterder. Wie 47 miljoen dollar stak, uiteraard. Maar ook het kleine leger van MEV-bots en tegenhackers dat nu op deze exploits jacht maakt — de week na Liquid stak een bot genaamd Yoink 7,8 miljoen dollar van een hacker die het eerst had gestolen. We bouwen een ecosysteem waarin de enige betrouwbare verdediging een andere roofdier is. Dat is geen veerkracht. Dat is een voedselketen.
Hebben we deze film niet al eerder gezien?
Ja, en we vertellen ons steeds de verkeerde moraal. De DAO-hack van 2016 en het bridge-seizoen van 2022 — Ronin's $625 miljoen, Wormhole's $320 miljoen — leverden allemaal dezelfde ritueel op: schok, een patch, een postmortem en de belofte dat betere custody en multisig het antwoord zouden zijn. Liquid is de eerste grote exploit die laat zien dat custody nooit de echte vraag was. De DAO-hack vernietigde een fonds. De bridge-diefstallen vernietigden de naïeve vertrouwen in cross-chain code. Liquid vernietigt een subtielere illusie: dat een federatie van zorgvuldige, goedbedoelde bedrijven betekenisvoller veiliger is dan een smart contract, wanneer beide slechts zo goed zijn als de release pipeline eronder.
Wat nu anders is, is het publiek. Het geld dat door deze rails stroomt, is niet langer retail degen kapitaal. Het is de institutionele basis van een assetklasse van meer dan biljoenen dollars — 21 banken die een dollar stablecoin bouwen, Citi die getokeniseerde cross-border betalingen afrekent, Wyoming dat een staatstablecoin tokeniseert. De mensen die nu afhankelijk zijn van "gefedereerde" en "gebridgete" infrastructuur, zijn precies de mensen die de korting van de white-hat niet kunnen veroorloven.
Waar staat dit over drie jaar?
Verwacht drie dingen. Ten eerste, een echte markt voor bridgeverzekeringen en formele bounty-as-a-service, omdat bedrijven deze risico's moeten prijsen op de manier waarop luchtvaartmaatschappijen motoruitval prijsen — actuarieel, niet op hoop. Ten tweede, een regulerende en juridische afrekening. Wanneer een "white hat" 47 miljoen dollar behoudt en dit wast via CoinJoins, zal een aanklager uiteindelijk vragen waarom niemand een Melding van Verdachte Transacties heeft ingediend voor een ongeautoriseerde overdracht van 320 miljoen dollar, en de verdediging "het was een bounty" zal in een rechtszaal sterven. Ten derde, een splitsing: bitcoin dat op de basisketen blijft — traag, duur, saai veilig — versus bitcoin dat via verpakkingslagen beweegt, snel, goedkoop en structureel lek. Instellingen zullen moeten beslissen welke ze eigenlijk op een balans willen.
Wat is de strategische lezing voor handelaren?
Geen prijsoordelen. Het signaal zit in de infrastructuur. Infrastructuur die vertrouwt op gefedereerde multisigs en gebbrugde pegs heeft een terugkerend, kwantificeerbaar falingspatroon — en de markt prijs nog niet het verschil tussen een natief afgehandelde activa en een verpakte weergave ervan. Houd in de gaten waar institutionele bewaargelden de komende tijd naartoe stromen. De bedrijven die hun release-pipeline kunnen bewijzen — niet hun sleutelbeheer, hun release-pipeline — zullen een premie kunnen vragen. Degenen die nog steeds april-code draaien tegen een miljardendollarswallet zullen dat niet. En behandel elke kop "white hat gaf de fondsen terug" als een rode vlag, niet als verlichting: het betekent dat een vijandige acteur echt geld had en de voorwaarden bepaalde.
Hier is de vraag die niemand wil beantwoorden: als een dief je kluis leeghaalde, 85 procent terugstuurde en je vroeg hem een beveiligingsconsultant te noemen, zou je dan de persbericht tekenen? Crypto deed het net. En zolang we aanvallers blijven betalen om helden te zijn, zullen we precies de helden krijgen die we ervoor hebben betaald.
FAQ
Was de Liquid Network-hack een aanval met een gestolen sleutel?
Nee. Blockstream bevestigde dat de SideSwap-autorisatiesleutel die gebruikt werd bij de opname nooit was gecompromitteerd. De aanvaller misbruikte een cache-botsingsbug in Elements, de validatiesoftware van Liquid, om ongeveer 3,998 ongedekte L-BTC te minten en in te wisselen voor echte bitcoin.
Hoeveel hield de aanvaller over?
Ongeveer 598.5 BTC, ruwweg $47 miljoen, of ongeveer 15% van de ~$319 miljoen die werd afgetrokken. De aanvaller gaf ongeveer 3,400 BTC (~$272 miljoen, ruwweg 85%) terug nadat Blockstream de patch had uitgeleverd.
Bestond er al een fix vóór de aanval?
Ja. Een onafhankelijke reconstructie vond dat een gerelateerde cache-sleutelfix werd geschreven op 3 augustus 2026 en samengevoegd in de ontwikkeltak op 3 september — maar productie draaide op versie 23.3.3 van 13 april, vijf maanden achter.
Is "white hat" een legale of formele status in crypto?
Nee. Het is een zelf toegepast label zonder juridische betekenis. In tegenstelling tot een vooraf geautoriseerde bug bounty, nam de Liquid-aanvaller eerst geld en gaf het voorwaardelijk terug, wat rechters en de politie als diefstal of chantage kunnen zien, ongeacht het label. Blockstream heeft aangegeven de overige fondsen na te gaan.
Waarom worden bridges en sidechains vaker aangevallen in 2026?
Ze bevatten geconcentreerde liquiditeit en vertrouwen op complexe code die pegs en bewijzen verifieert. TRM Labs telt 26 bridge- en interoperabiliteitsaanvallen in 2026 tot nu toe, op van 3 in 2025, aangezien aanvallers verschuiven van sleuteldiefstal naar unbacked-mint exploits.
Lees verder: liquid.net, blockstream.com, trmlabs.com, slowmist.com.