Vụ hack trên Mạng lưới Liquid không phải là trộm khóa. Nó phơi bày cách hoạt động thực sự của các sidechain liên kết với Bitcoin theo mô hình liên đoàn, giống như các ngân hàng. Ý nghĩa của việc rút 320 triệu USD đối với lớp thứ hai của BTC.
Bảo mật Sidechain của Bitcoin là một huyền thoại — Liquid vừa chứng minh điều đó
Vào ngày 6 tháng 9 năm 2026, ai đó đã rời đi với khoảng 4,000 bitcoin — khoảng $320 million vào thời điểm đó — từ Liquid Network (https://liquid.net/), sidechain chính được xây dựng bởi Blockstream (https://blockstream.com/), công ty do Adam Back thành lập, nhà mật mã học có Hashcash được trích dẫn trong whitepaper Bitcoin. Không khóa riêng nào bị đánh cắp. Không multisig nào bị phá vỡ. Kẻ trộm đã tìm ra một lỗi tinh vi trong một phần mềm, đúc bitcoin không tồn tại, và làm cạn kiệt 95% dự trữ của mạng chỉ trong 23 phút.
Đó không phải là một lỗ hổng bảo mật theo cách mà hầu hết mọi người hình dung. Đó là một điều đáng xấu hổ hơn: một cuộc rút tiền hàng loạt trên một hệ thống vốn không bao giờ cần đến ngân hàng.
Điểm chính
- Vụ hack Liquid là một lỗi kỹ thuật, không phải xâm nhập trái phép: một va chạm bộ nhớ đệm range-proof trong Elements (https://github.com/ElementsProject/elements) cho phép kẻ tấn công tạo ra L-BTC không được bảo đảm và đổi lấy khoảng 4.000 bitcoin thực.
- Liquid là một sidechain liên đoàn — một ví đa chữ ký 11-of-15 do khoảng mười lăm công ty vận hành. Đó là một mô hình tin cậy, không phải "không phải khóa của bạn, không phải coin của bạn."
- Kẻ tự xưng "white hat" đã hoàn trả 85% và giữ lại khoảng 598,5 BTC (~47 triệu USD) như một khoản thưởng do chính họ tự chỉ định, làm mờ ranh giới giữa việc tiết lộ và tống tiền.
- Blockstream từ chối thanh toán và đồng thời đang đối mặt với một SPAC trị giá 4 tỷ USD đã sụp đổ và các vụ kiện liên quan đến khai thác — trong khi những người nắm giữ L-BTC vẫn không thể đổi lại sang chuỗi chính.
Điều gì thực sự đã xảy ra với Liquid?
Lỗ hổng khai thác rất tinh tế trong sự đơn giản của nó. Liquid chạy trên Elements, mã nguồn mở do Blockstream duy trì. Một lỗi trong cách Elements lưu trữ "chứng minh phạm vi" — toán học chứng minh số tiền của giao dịch bí mật là hợp lệ — cho phép kẻ tấn công tạo ra L-BTC mà không có bitcoin nào bảo chứng. Những token giả này sau đó được chuyển qua SideSwap (https://sideswap.io/), một nền tảng giao dịch nắm giữ khóa ủy quyền rút ra, chuyển đổi chúng thành các khoản rút bitcoin thật từ ví dự trữ của liên đoàn.
Dự trữ giảm từ khoảng 4.200 BTC xuống còn 197 BTC trong chưa đầy nửa giờ.
Đây là phần quan trọng nhất: các khóa ký của liên đoàn chưa bao giờ bị xâm phạm. Hệ thống đa ký 11-of-15 — mười lăm công ty bao gồm các sàn giao dịch và nhà tạo lập thị trường phải cùng nhau phê duyệt các thao tác — hoạt động chính xác như thiết kế. Sự cố nằm ở phía trước, trong mã nguồn cung cấp hướng dẫn cho hệ thống đa ký biết cần ký những gì. Một kho tiền được xây dựng tốt, nhận chỉ thị sai, vẫn sẽ mở ra.
Kẻ tấn công sau đó đã làm điều thường thấy trong crypto: một tin nhắn OP_RETURN với nội dung "chúng tôi là whitehats. liên hệ với chúng tôi trên chuỗi", yêu cầu Blockstream vá lỗi cho mọi nút trước khi bất kỳ thứ gì được hoàn trả, và cuối cùng là hoàn trả khoảng 3.400 BTC sau khi bản vá được phát hành. Họ giữ lại 598,5 BTC — khoảng 47 triệu USD — như một khoản phí do họ tự quy định. Khi Blockstream từ chối, giọng điệu trở nên xấu đi: "Bạn PHẢI trả 10% bằng tiền của chính mình như tiền thưởng phát hiện lỗi hoặc bạn sẽ gây ra khoản lỗ 15% cho tất cả người nắm giữ."
Tại sao đây là sự thất bại về niềm tin, không phải thất bại về bảo mật?
Toàn bộ thông điệp của Bitcoin là bạn không cần phải tin tưởng bất kỳ ai. Khóa của bạn, coin của bạn. Sau đó Bitcoin gặp phải một rào cản: nó chậm, đắt đỏ và kém hiệu quả về quyền riêng tư, vì vậy cả một ngành công nghiệp "lớp thứ hai" đã mọc lên để khắc phục điều đó — và gần như tất cả chúng đều âm thầm tái nhập niềm tin.
Liquid là ví dụ thuần khiết nhất. Để sử dụng nó, bạn gửi bitcoin vào một ví được kiểm soát bởi một liên đoàn gồm mười lăm công ty và nhận L-BTC làm đổi lại. Những công ty đó nắm giữ bitcoin của bạn. Quyền tự quản lý của bạn kết thúc ngay khi quá trình neo giá bắt đầu. Nếu liên đoàn trung thực và phần mềm chính xác, mọi thứ sẽ hoạt động. Nếu một trong hai bên thất bại, bạn đang nắm giữ một khoản nợ từ một cartel các sàn giao dịch.
Đó không phải là một sidechain. Đó là một ngân hàng với các bước bổ sung. Và vào tháng Chín, ngân hàng này đã mất 95% số tiền trong két chỉ trong 23 phút — không phải do cướp, mà vì phần mềm của chính nó có một lỗi trong phép tính số học.
Đây là sự thật khó chịu mà vụ hack phơi bày. Nhóm "không phải khóa của bạn" đã mất một thập kỷ để chế giễu các sàn giao dịch và nhà lưu ký, chỉ để công ty cơ sở hạ tầng Bitcoin nổi tiếng nhất xây dựng một sản phẩm mà toàn bộ mô hình bảo mật của nó dựa trên "tin tưởng mười lăm công ty này." Đa chữ ký không thất bại. Sự tin tưởng mới là thứ thất bại — sự tin tưởng rằng một nhóm nhỏ các công ty sẽ duy trì mã không thể phá vỡ, và rằng mã đó sẽ được xem xét cẩn thận như yêu cầu đối với một két sắt trị giá 320 triệu USD.
Ai thắng và ai thua ở đây?
Kẻ tấn công thắng, ít nhất là hiện tại: khoảng 598.5 BTC đang nằm trong một ví mà toàn thế giới có thể theo dõi nhưng không ai có thể chạm vào, trong khi Blockstream van nài trả lại và đe dọa tiến hành điều tra forensics.
Blockstream thua về mặt uy tín ngay cả khi họ thu hồi được mọi satoshi. Đây là cùng một công ty, theo báo cáo, đã được cảnh báo về lỗ hổng trước khi vụ khai thác xảy ra bởi Đội Red Team Bitcoin tình nguyện — một tuyên bố mà Blockstream bác bỏ, đổ lỗi cho lỗi này vào những gì họ gọi là một bản sửa lỗi hỗ trợ AI bị lỗi. Chi tiết đó, nếu đúng, là một câu chuyện riêng: khả năng một công cụ lập trình AI đã đưa vào một lỗi mật mã học vào một két sắt trị giá 320 triệu USD.
Người nắm giữ L-BTC là những nạn nhân thực sự. Hơn một tháng sau vụ tấn công, việc rút tiền — khả năng đổi L-BTC trở lại bitcoin thật — vẫn bị tạm ngưng. Bạn có thể giữ L-BTC, nhưng không thể dễ dàng rút bitcoin của mình ra. Đó chính là định nghĩa của một tài khoản bị đóng băng, và điều này đang xảy ra trên mạng lưới được bán với tư cách là giải pháp nhanh hơn, riêng tư hơn cho Bitcoin.
Hệ sinh thái rộng lớn hơn cũng mất đi một điều tinh tế hơn: ảo tưởng rằng "Bitcoin L2" là một vấn đề đã được giải quyết. Nó không phải vậy. Đó là một chuỗi các sự đánh đổi giữa tính phi tập trung và khả năng sử dụng, và Liquid vừa trả giá cho những sự đánh đổi đó là 320 triệu USD.
Điều này đã từng xảy ra trước đây?
Có — và mô hình này rất mang tính chỉ dẫn. Vụ hack sàn Liquid Global năm 2021, các lỗ hổng cầu nối đã làm cạn kiệt DeFi trong nhiều năm, vụ trộm cắp trên cầu nối Ronin và Wormhole: chủ đề lặp lại không phải là khóa, mà là mã nguồn. Ngành công nghiệp vẫn coi các chữ ký đa phần và liên đoàn là ranh giới bảo mật, trong khi ranh giới thực sự là phần mềm cung cấp dữ liệu cho chúng.
Điều khác biệt bây giờ là yếu tố "mũ trắng". Rút tiền trước và đàm phán sau — kịch bản rút rồi tiết lộ — đang trở thành một chiến thuật lặp lại. Giám đốc Công nghệ Ledger Charles Guillemet nói thẳng thắn: các nhà nghiên cứu trung thực phải tiết lộ trước và để công ty quyết định. Mọi thứ khác là tống tiền. Kẻ tấn công Liquid đã làm ngược lại và vẫn mong đợi được tôn vinh.
Bitcoin Second Layer sẽ đi về đâu trong tương lai?
Câu trả lời trung thực là nó phân thành hai hướng. Một hướng là giảm thiểu sự tin cậy: các kênh kiểu Lightning và, cuối cùng, là các cấu trúc mật mã nghiêm ngặt hơn — rollups, bằng chứng hợp lệ — nơi bạn có thể xác minh thay vì tin tưởng. Hướng còn lại là lối tắt liên đoàn: nhanh chóng, riêng tư và dễ dàng, nhưng chỉ an toàn như một vài công ty và mã nguồn của họ.
Vụ hack Liquid là một lá phiếu cho hướng đầu tiên và một lời cảnh báo về hướng thứ hai. Các sidechain liên đoàn sẽ không biến mất — chúng quá tiện lợi đối với các sàn giao dịch vận hành chúng — nhưng chiến dịch marketing của chúng cần một lời miễn trừ trách nhiệm mà chúng sẽ không bao giờ tự nguyện in ra: "bao gồm rủi ro lưu ký."
Chính Blockstream đối mặt với một câu hỏi khó khăn hơn. Công ty này đồng thời là người lưu ký cho một thất bại trị giá 320 triệu USD, nhà tài trợ cho một SPAC quỹ trị giá 4 tỷ USD đã sụp đổ (Cantor hiện yêu cầu phí chấm dứt 15 triệu USD), và là công ty mẹ cũ của một hoạt động khai thác đang vướng vào các vụ kiện. Công ty đã dạy Bitcoin "đừng tin tưởng, hãy xác minh" giờ đang yêu cầu thế giới tin rằng họ có thể bù đắp khoảng 600 bitcoin bị thiếu trong khi bảng cân đối kế toán của chính họ đang chịu áp lực.
Điều này có ý nghĩa gì đối với các nhà giao dịch?
Bài học thực tế không hề hào nhoáng: hãy hiểu những gì bạn thực sự nắm giữ. Nếu bạn đang nắm giữ L-BTC, bạn không đang nắm giữ bitcoin — bạn đang nắm giữ một yêu sách đối với quỹ dự trữ của một liên đoàn, và hiện tại yêu sách đó một phần không được bảo đảm và không thể đổi. Giá trị neo chỉ tốt bằng sự sẵn sàng và khả năng bù đắp của liên đoàn.
Nói rộng hơn, hãy đối xử với các tuyên bố về "Bitcoin L2" với cùng mức độ hoài nghi mà bạn áp dụng cho bất kỳ bên lưu ký nào. Hãy hỏi nơi các khóa lưu trữ. Hỏi ai có thể đóng băng lệnh rút tiền của bạn. Hỏi xem mô hình bảo mật là "xác minh" hay "tin tưởng". Sự khác biệt giữa hai bên xấp xỉ bằng sự khác biệt giữa việc nắm giữ bitcoin và việc nắm giữ một biên lai ngân hàng.
Sự cố Liquid không phải là lý do để từ bỏ các lớp thứ hai. Đó là lý do để ngừng giả vờ rằng tất cả chúng đều giống nhau — và ngừng giả vờ rằng bất kỳ cái nào trong số chúng đều không có rủi ro đối tác mà Bitcoin được tạo ra để loại bỏ.
Câu hỏi mà không ai muốn trả lời
Bitcoin được xây dựng để bạn không phải tin tưởng một liên minh những người lạ với số tiền của mình. Liquid được xây dựng bởi chính công ty của Bitcoin, và nó đã làm đúng điều đó — sau đó mất 95% số tiền trong két chỉ trong chưa đầy nửa giờ.
Câu hỏi không phải là liệu 598.5 BTC còn lại có trở về hay không. Câu hỏi là liệu một ngành công nghiệp rao giảng "đừng tin, hãy kiểm chứng" có sẵn sàng thừa nhận rằng lớp thứ hai của nó luôn là một bài tập về niềm tin — và họ dự định làm gì về vấn đề này.
FAQ
Mạng Liquid là gì? Liquid là một sidechain của Bitcoin do Blockstream phát hành vào năm 2018. Người dùng gửi bitcoin vào một ví được kiểm soát bởi một liên minh gồm khoảng mười lăm công ty — các sàn giao dịch, nhà tạo lập thị trường và các công ty cơ sở hạ tầng — và nhận lại L-BTC để đổi lấy, cho phép thanh toán nhanh hơn và bảo mật hơn giữa các tổ chức.
Liệu Bitcoin có bị hack không? Không. Lớp cơ sở của Bitcoin chưa bao giờ bị ảnh hưởng. Lỗ hổng nằm trong Elements, phần mềm vận hành Liquid, và cho phép tạo ra L-BTC không được đảm bảo. Không có khóa ký nào của liên minh bị xâm phạm; chức năng đa chữ ký đã hoạt động chính xác như thiết kế.
Có bao nhiêu bị lấy đi, và bao nhiêu được trả lại? Khoảng 4,000 BTC (khoảng $320 million vào thời điểm đó) đã bị rút khỏi dự trữ liên bang vào September 6, 2026. Kẻ tấn công đã trả lại khoảng 3,400 BTC (85%) sau khi Blockstream vá lỗi, giữ lại khoảng 598.5 BTC (~$47 million) làm tiền thưởng tự quy định. TRM Labs (https://www.trmlabs.com/) xếp hạng đây là vụ hack tiền mã hóa lớn nhất năm 2026 cho đến nay.
Tại sao các lệnh rút peg vẫn bị tạm dừng? Blockstream đã giữ chức năng rút peg (rút tiền) bị vô hiệu hóa trong khi một cuộc kiểm toán độc lập đối với phần mềm Elements đã vá vẫn đang tiếp diễn. Những người nắm giữ L-BTC có thể giao dịch trên Liquid nhưng không thể dễ dàng quy đổi lại về chuỗi Bitcoin chính cho đến khi dự trữ được khôi phục hoàn toàn.
Vị trí của Blockstream về "tiền thưởng" là gì? Blockstream đã từ chối yêu cầu, gọi việc giữ tiền là "ăn cắp, không phải tiết lộ có trách nhiệm," và nói rằng họ sẽ theo đuổi việc thu hồi thông qua cơ quan thực thi pháp luật, các sàn giao dịch và phân tích blockchain thay vì trả tiền chuộc để lấy lại tài sản bị đánh cắp.