Insiden 4.000 BTC Liquid Network: celah cache bertemu kontrol peg-out yang lemah

Pada 6 September 2026, Liquid Network mengalami insiden “pencetakan tanpa cadangan lalu peg-out berotorisasi”. Bukti publik menunjukkan pihak yang bertanggung jawab mengeksploitasi celah cache verifikasi range proof pada Elements untuk membuat sekitar 4.000 L-BTC tanpa cadangan bitcoin. Token tersebut kemudian melewati layanan peg-out resmi SideSwap dan ditukar dengan BTC nyata milik Liquid Federation.

Ini bukan pencurian kunci cadangan biasa. Liquid menyatakan kunci federation dan peg-out tidak dibobol; kegagalan terjadi saat token tidak valid diterima sebagai valid. Setelah itu, proses peg-out berjalan menurut desain dan melepas sekitar 3.996 BTC.

Fakta dan kronologi

Pernyataan SideSwap pada 9 September memuat hash transaksi dan urutan rinci. Pelaku melakukan uji kecil, membuat L-BTC tanpa dukungan sekitar 13.53 UTC, lalu memasukkan order peg-out sekitar 4.000 L-BTC pada 14.05 UTC. SideSwap membakar token dengan otorisasi sah, federation melepas sekitar 3.996,02 BTC, dan SideSwap meneruskannya ke alamat tujuan pada blok Bitcoin yang sama.

Jaringan kemudian dihentikan. Pada 7 September, 3.400 BTC dikembalikan. Menurut status terbaru 11 September, sekitar 598,5 BTC masih belum kembali. Blockstream menolak memperlakukan saldo itu sebagai bounty yang ditentukan sepihak dan menyatakan akan bekerja dengan penegak hukum, exchange dan penyelidik blockchain. Pengembalian dapat diverifikasi on-chain, tetapi identitas, tanggung jawab hukum dan hasil akhir belum ditetapkan.

Dua lapisan kontrol gagal

Lapisan pertama adalah validasi transaksi. Analisis Chainalysis menyebut penanganan cache yang ambigu membuat hasil range proof tidak valid memperoleh status yang sebelumnya sudah diverifikasi. Ini merusak asumsi inti bahwa setiap L-BTC didukung BTC dalam cadangan.

Lapisan kedua adalah kontrol operasional peg-out. SideSwap mengakui kunci otorisasi berada online, pembayaran otomatis, dan tidak ada pemeriksaan memadai atas ukuran, kecepatan, usia dompet atau proporsi terhadap total pasokan. Order yang mendekati seluruh cadangan tidak tertahan untuk review manusia. Celah software menciptakan token tanpa dukungan; otomasi mengubahnya menjadi pembayaran mainnet yang sulit dibalik.

Audit kode saja tidak cukup. Batas penarikan, pemantauan perilaku, settlement tertunda, persetujuan offline dan review manual untuk order luar biasa harus berdiri sebagai kontrol terpisah.

Pemulihan belum berarti selesai

Per 11 September, produksi blok dan transaksi biasa dilaporkan telah kembali setelah Elements v23.3.4 dipasang, tetapi peg-out masih dinonaktifkan selama pemulihan cadangan. Pengguna harus memeriksa status chain, dukungan deposit/withdrawal exchange, status peg resmi dan rencana menutup selisih cadangan secara terpisah.

Blockstream juga memperingatkan adanya penipu yang menawarkan pembaruan keamanan, portal penggantian dana atau migrasi palsu. Pengguna tidak perlu memberikan seed phrase atau PIN, memasang software dari tautan acak, atau mengirim dana untuk memperoleh pemulihan.

Dampak bagi trader dan platform

Bagi pemegang L-BTC, masalah utamanya adalah cadangan dan jalur penebusan wrapper, bukan Bitcoin mainnet. Nilai pasar dan kemampuan penebusan dapat berbeda selama penangguhan. Simpan catatan saldo, hash transaksi, pengumuman platform dan percakapan dukungan.

Exchange, broker dan kustodian perlu memperlakukan L-BTC dan BTC asli sebagai aset risiko berbeda. Bukti cadangan, status bridge, jalur keluar, eksposur pihak lawan dan aturan penangguhan harus dinilai terpisah. Produk yang hanya menulis “BTC” tanpa menjelaskan settlement dalam L-BTC juga memerlukan pengungkapan lebih jelas.

Pandangan TraderVote

Ini bukan sekadar bug kode, melainkan kegagalan gabungan antara validasi, peg-out otomatis dan tata kelola cadangan. Pengembalian sekitar 85% dana mengurangi kekurangan langsung, tetapi 598,5 BTC yang tersisa, pembukaan peg-out, pemulihan cadangan, audit independen dan proses hukum masih material.

Kesimpulan yang hati-hati: eksploitasi celah, penciptaan sekitar 4.000 L-BTC tanpa dukungan, pelepasan sekitar 3.996 BTC dan pengembalian 3.400 BTC didukung bukti publik. Identitas pelaku, hak atas dana tersisa dan kerugian akhir belum diputuskan.

Sumber

SideSwap, “Statement on the Liquid Network incident of 6 September 2026,” 9 September 2026, diakses 13 September 2026: https://testnet.sideswap.io/news/statement-on-the-liquid-network-incident-of-6-september-2026/

Blockstream, “Phishing Alert: Do Not Act on Unsolicited Liquid or Blockstream Messages,” 9 September 2026, diakses 13 September 2026: https://blog.blockstream.com/phishing-alert-do-not-act-on-unsolicited-liquid-or-blockstream-messages/

Chainalysis, “How The $320M Exploit of Liquid Network Went Down,” 9 September 2026, diakses 13 September 2026: https://www.chainalysis.com/blog/320m-exploit-liquid-network/

The Block, laporan status pemulihan dan dana terbaru, 11 September 2026, diakses 13 September 2026: https://www.theblock.co/news/ecosystems/2026-09-11-return-the-bitcoin-blockstream-refuses-ransom-demand-for-remaining-600-btc-from-liquid-exploit-414247

Ditulis independen oleh Hengyuan berdasarkan informasi yang dapat diverifikasi hingga 13 September 2026. Investigasi dan pemulihan masih berlangsung. Artikel ini bukan nasihat investasi, hukum, atau keamanan siber.