Liquid Ağı saldırısı bir anahtar hırsızlığı değildi. Bitcoin'in federatif yan zincirlerinin bankalar gibi nasıl çalıştığını ortaya çıkardı. 320 milyon $'lık boşaltmanın BTC'nin ikinci katmanı için anlamı nedir.
Bitcoin Yan Zincir Güvenliği Bir Mit — Liquid Bunu Kanıtladı
6 Eylül 2026'da, bir kişi Liquid Network'ten (https://liquid.net/) yaklaşık 4.000 bitcoin — o dönemde yaklaşık 320 milyon dolar — çalarak uzaklaştı. Liquid Network, Bitcoin whitepaper'ında atıfta bulunulan Hashcash'in yaratıcısı kriptograf Adam Back tarafından kurulan Blockstream (https://blockstream.com/) şirketi tarafından geliştirilen amiral gemisi yan zincirdir. Özel anahtarlar çalınmadı. Çoklu imza sistemi kırılmadı. Hırsız, yazılımdaki ince bir hatayı buldu, var olmayan bitcoin'leri basarak ağın rezervlerinin %95'ini 23 dakikada boşalttı.
Bu, çoğu insanın aklına gelen anlamda bir güvenlik ihlali değil. Daha utanç verici bir durum: aslında bir banka koşusuna ihtiyaç duymaması gereken bir sistemde bir banka koşusu yaşanması.
Öne Çıkanlar
- Liquid hack'ı bir huydu, bir kırılma değil: Elements'te (https://github.com/ElementsProject/elements) bir aralık-kanıtı önbellek çakışması, saldırganın desteklenmeyen L-BTC oluşturmasına ve bunları yaklaşık 4.000 gerçek bitcoin karşılığında tahsil etmesine olanak tanıdı.
- Liquid, federasyon yan zinciridir — yaklaşık on beş şirket tarafından yürütülen 11-of-15 çoklu imza. Bu bir güven modelidir, "anahtarlar senin değilse coinler de senin değildir" değil.
"Beyaz şapkalı" olarak tanımlanan kişi %85'ini iade etti ve kendisine atadığı bir ödül olarak yaklaşık 598,5 BTC'yi (~47 milyon $) tutarak ifşa ile extorsiyon arasındaki çizgiyi bulanıklaştırdı.
Blockstream ödemeyi reddetti ve aynı zamanda çöken 4 milyar dolarlık bir SPAC ve madencilik davalarıyla uğraşırken — L-BTC sahipleri hala ana zincire geri tahsilat yapamıyor.
Liquid'de Gerçekten Ne Oldu?
Sömürü, sadeliğiyle zarifti. Liquid, Blockstream'ın sürdürdüğü açık kaynak kod tabanı Elements üzerinde çalışır. Elements'in "aralık kanıtlarını" — gizli bir işlemin tutarının meşru olduğunu kanıtlayan matematik — nasıl önbelleğe aldığının bir hatası, saldırganın arkasında bitcoin olmayan L-BTC'yi basmasına olanak tanıdı. Bu sahte tokenlar daha sonra bir peg-out yetkilendirme anahtarına sahip olan bir ticaret platformu olan SideSwap (https://sideswap.io/) üzerinden yönlendirildi ve federasyonun yedek cüzdanından gerçek bitcoin çekimlerine dönüştürüldü.
Yedek, yarım saatten kısa bir sürede yaklaşık 4.200 BTC'den 197 BTC'ye düştü.
İşte en önemli kısım: federasyonun imza anahtarlarına hiç dokunulmadı. 11-of-15 çoklu imza — hareketleri birlikte onaylaması gereken borsalar ve piyasa yapıcıları da dahil olmak üzere on beş şirket — tam olarak tasarlandığı gibi çalıştı. Hata, çoklu imzanın neyi imzalaması gerektiğini söyleyen kodun yukarısında, yani kodda yatıyordu. İyi inşa edilmiş bir kasaya kötü talimatlar verilse bile yine de açılır.
Saldırgan ardından kripto dünyasına özgü bir şey yaptı: "Biz beyaz şapkayız. Zincir üzerinde bizimle iletişime geçin" diyen bir OP_RETURN mesajı, herhangi bir şey iade edilmeden önce Blockstream'ın tüm düğümleri yaması talebi ve yama yayınlandıktan sonra yaklaşık 3.400 BTC'nin iadesi. Kendilerine ücret olarak belirledikleri 598.5 BTC'yi — yaklaşık 47 milyon dolar — kendilerinde tuttu. Blockstream itiraz ettiğinde, ton sertleşti: "Hata ödülü olarak kendi paranızı kullanarak %10'u ödeyeceksiniz, aksi takdirde tüm sahiplerinize %15 zarar verdireceksiniz."
Bu Neden Güven Sorunu, Güvenlik Sorunu Değil?
Bitcoin'in tüm vaatleri, kimsenin güvenine ihtiyacınız olmadığıdır. Anahtarlar senin, coinler senin. Sonra Bitcoin bir duvara çarptı: yavaş, pahalı ve gizlilik konusunda kötü, bu yüzden bunu düzeltmek için "ikinci katman" diye adlandırılan tüm bir sektör ortaya çıktı — ve neredeyse hepsi sessizce güveni yeniden içe aktardı.
Liquid en saf örnektir. Kullanmak için, bitcoin'i on beş şirketlik bir federasyonun kontrolündeki bir cüzdana yatırırsınız ve karşılığında L-BTC alırsınız. Bu şirketler bitcoin'inizi tutar. Kendi kendine muhafaza, peg başladığı anda sona erer. Federasyon dürüstse ve yazılım doğruysa her şey çalışır. Bunlardan biri başarısız olursa, bir borsa kartelinden gelen bir borç senedini tutuyorsunuz demektir.
Bu bir yan zincir değil. Bu, ekstra adımları olan bir banka. Ve eylül ayında, banka kasasının %95'ini 23 dakika içinde kaybetti — bir soygun yüzünden değil, kendi yazılımının aritmetik işlemlerinde bir kusur olduğu için.
Bu, hack'in ortaya çıkardığı rahatsız edici gerçek. "Anahtarlar senin değil" diyenler, on yıl boyunca borsaları ve custodian'ları alaya aldı, ancak en önde gelen Bitcoin altyapı şirketi, güvenlik modeli tamamen "bu on beş şirkete güven" olan bir ürün geliştirdi. Çoklu imza başarısız olmadı. Güven başarısız oldu — küçük bir şirket grubunun kırılmaz kodu koruyacağına ve kodun 320 milyon dolarlık bir kasadan beklenen özenle inceleneceğine duyulan güven.
Burada Kazanan ve Kaybeden Kim?
Saldırgan şu an için kazanıyor: Dünyanın her yerinden izlenebilen ancak dokunulamayan bir cüzdana yerleştirilmiş yaklaşık 598,5 BTC; Blockstream ise iadesini talep ediyor ve adli tıbbi incelemeler tehdidi savuruyor.
Blockstream, her satoshi'yi geri alsa bile itibar defterinde kaybeder. Raporlara göre, sömürüden önce gönüllü Bitcoin Red Team tarafından zafiyet konusunda uyarılan aynı şirket. Blockstream bu iddiayı reddediyor ve hatayı, "kusurlu AI destekli düzeltme" olarak nitelendirdiği bir şeye bağlıyor. Bu detay, eğer doğruysa, kendi başına bir hikaye: Bir AI kodlama aracının 320 milyon dolarlık bir kasaya kriptografik bir hata sokma ihtimali.
L-BTC sahipleri gerçek mağdurlar. Saldırının üzerinden bir aydan fazla bir süre geçmesine rağmen, peg-outs — L-BTC'nin gerçek bitcoine dönüştürülmesi — askıda kalıyor. L-BTC tutabilirsiniz, ancak bitcoininizi kolayca çıkaramazsınız. Bu, "Bitcoin'in daha hızlı ve daha özel cevabı" olarak pazarlanan ağda dondurulmuş bir hesabın tanımıdır.
Geniş ekosistem ayrıca daha ince bir şeyi de kaybeder: "Bitcoin L2"nin çözülmüş bir sorun olduğu fantazisi. Öyle değil. Bu, güvensizlik ve kullanılabilirlik arasındaki bir dizi ödünleşimdir ve Liquid bu ödünleşimleri 320 milyon dolarla fiyatlandırdı.
Bu Daha Önce Yaşandı mı?
Evet — ve kalıp öğreticidir. 2021 Liquid Global borsası hacki, yıllardır DeFi'yi kanatan köprü istismarları, Ronin ve Wormhole köprüü hırsızlıkları: tekrarlayan tema anahtarlar değil, koddur. Sektör çoklu imzaları ve federasyonları güvenlik sınırı olarak işlemeye devam ederken, gerçek sınır onları besleyen yazılımdır.
Şimdi fark yaratan şey "beyaz şapka" twistidir. Fonları önce boşaltmak ve sonra müzakere etmek — boşalt-sonra-açıkla oyun planı — tekrarlanabilir bir taktik haline geliyor. Ledger CTO Charles Guillemet bunu açıkça ifade etti: dürüst araştırmacılar önce açıklama yapar ve şirkete karar verme hakkı tanır. Başka her şeyi ise extorsiyon (şantaj) olarak nitelendirir. Liquid saldırganı tam tersini yaptı ve hâlâ kutlanmasını bekliyor.
Bitcoin'in İkinci Katmanı Bundan Sonra Nereye Gidiyor?
Dürüst cevap, iki yola bölüneceği yönünde. Bir yol güvensizliği minimize eden: Lightning tarzı kanallar ve nihayetinde daha titiz kriptografik yapılar — rollup'lar, geçerlilik kanıtları — burada güvenmek yerine doğrulama yapabilirsiniz. Diğer yol ise federasyon kısayolu: hızlı, özel ve kolay, ancak yalnızca birkaç şirketin ve onların kodlarının güvenliği kadar güvenli.
Liquid hack'ı ilk yola yapılan bir oy ve ikinci yol hakkında bir uyarıdır. Federatif yan zincirler kaybolmayacak — onları işleten borsalar için çok kullanışlılar — ancak pazarlamaları, gönüllü olarak asla basmayacakları bir uyarıyla birlikte gelmeli: "custodial risk dahil."
Blockstream kendisi daha zor bir soruyla karşı karşıya. Aynı anda 320 milyon dolarlık bir başarısızlığın custodian'ı, çöken 4 milyar dolarlık bir hazine SPAC'ının sponsoru (Cantor şimdi 15 milyon dolarlık bir fesih ücreti iddia ediyor) ve davaların içine sıkışmış bir madencilik operasyonunun eski ebeveyni. Bitcoin'e "güvenme, doğrula"yı öğreten şirket, kendi bilançosu altında baskıdayken, yaklaşık 600 eksik bitcoin'i telafi edebileceğine dünyadan güvenmesini istiyor.
Bu Tüccarlar İçin Ne Anlama Geliyor?
Pratik çıkarım sıradışı: ne tuttuğunuzu anlayın. L-BTC tutuyorsanız, bitcoin tutmuyorsunuz — bir federasyonun rezervine karşı bir talepte bulunuyorsunuz ve şu anda bu talep kısmen karşılanmamış ve geri alınamaz durumda. Peg, federasyonun onu telafi etme iradesi ve yeteneği kadar güçlüdür.
Daha geniş anlamda, "Bitcoin L2" iddialarına, herhangi bir custodian'a uygulayacağınız şüpheyle yaklaşın. Anahtarların nerede olduğunu sorun. Kimin çekiminizi dondurabileceğini sorun. Güvenlik modelinin "doğrula" mı yoksa "güven" mi olduğunu sorun. İkisi arasındaki fark, bitcoin tutmakla bir banka makbuzu tutmak arasındaki farka yakındır.
Liquid olayı, ikinci katmanları terk etmek için bir neden değil. Hepsi aynıymış gibi davranmayı bırakmak ve Bitcoin'in ortadan kaldırmak için icat edildiği şekilde karşı taraf riskinden arınmış olduklarını iddia etmeyi bırakmak için bir nedendir.
Cevaplanmak İstenmeyen Soru
Bitcoin, paranızı yabancıların bir federasyonuna güvenmek zorunda kalmamanız için inşa edildi. Liquid, Bitcoin'in kendi şirketi tarafından geliştirildi ve tam olarak bunu yaptı — ardından kasasının %95'ini yarım saatten kısa bir sürede kaybetti.
Geriye kalan 598.5 BTC'nin geri dönüp dönmeyeceği sorusu değil; "güvenme, doğrula" felsefesini savunan bir endüstrinin, ikinci katmanının başından beri bir güven egzersizi olduğunu kabul etmeye hazır olup olmadığı ve bununla ilgili ne yapmayı planladığı sorusu.
FAQ
Liquid Network nedir? Liquid, Blockstream tarafından 2018'de başlatılan federasyonlu bir Bitcoin yan zinciridir. Kullanıcılar, yaklaşık on beş şirketten oluşan bir federasyon tarafından kontrol edilen bir cüzdana bitcoin yatırır ve karşılığında L-BTC alır; bu da kurumlar arasında daha hızlı ve daha gizli bir yerleşim sağlar.
Bitcoin'in kendisi hacklendi mi? Hayır. Bitcoin'in temel katmanı asla etkilenmedi. Açık, Liquid'i çalıştıran Elements yazılımında bulunuyordu ve teminatlı olmayan L-BTC'nin mintlenmesine olanak tanıyordu. Hiçbir federasyon imza anahtarı ele geçirilmedi; çoklu imza işlevi tam olarak tasarlandığı gibi çalıştı.
Kaç miktarda alındı ve kaç miktarda geri geldi? Yaklaşık 4,000 BTC (o zamanlar yaklaşık $320 million) federasyon rezervinden 6 Eylül 2026'da boşaltıldı. Saldırgan, Blockstream hatayı düzelttikten sonra yaklaşık 3,400 BTC (85%) geri döndürdü, yaklaşık 598.5 BTC (~$47 million) kendi kendine verilen ödül olarak tuttu. TRM Labs (https://www.trmlabs.com/) bunu 2026'ya kadar olan en büyük kripto hacki olarak sıraladı.
Neden peg-out'lar hâlâ askıda? Blockstream, yamalı Elements yazılımının bağımsız denetimi devam ederken peg-out (para çekme) işlevini devre dışı bıraktı. L-BTC sahipleri Liquid üzerinde işlem yapabilir, ancak rezervler tamamen toparlanana kadar ana Bitcoin zincirine kolayca geri dönüştüremez.
Blockstream'ın 'ödül' konusundaki tutumu nedir? Blockstream, talebi reddetti ve fonların tutulmasını 'sorumlu açıklama değil, hırsızlık' olarak nitelendirdi; çalınan mülkün iadesi için fidye ödemek yerine, fonların geri kazanılmasını kolluk kuvvetleri, borsalar ve blockchain adli bilişim yoluyla takip edeceğini belirtti.