Liquid से 4,000 BTC निकाले गए: 2026 का सबसे बड़ा हैक अब बिटकॉइन लेनदेन में तय हो रहा है

शनिवार, 6 सितंबर को Blockstream द्वारा संचालित बिटकॉइन साइडचेन Liquid के पीछे खड़े फेडरेशन वॉलेट ने एक ही निकासी में लगभग 4,000 BTC का भुगतान कर दिया। उस दिन के भाव पर यह करीब 320 मिलियन डॉलर था, और साइडचेन के रिज़र्व में रखे बिटकॉइन का लगभग 95 प्रतिशत। किसी ने कोई चाबी नहीं चुराई। Liquid द्वारा 8 सितंबर को प्रकाशित इंसिडेंट रिपोर्ट के अनुसार, Liquid नोड चलाने वाले ओपन-सोर्स सॉफ़्टवेयर Elements की एक कमज़ोरी उस तरीके में थी जिससे नोड रेंज प्रूफ़ के सत्यापन को कैश करते हैं। किसी ने उसका इस्तेमाल करके लगभग 4,000 ऐसे L-BTC बना लिए जिनके पीछे कोई बिटकॉइन नहीं था, और फिर उन टोकनों को एक अधिकृत पेग-आउट सेवा SideSwap के ज़रिये असली बिटकॉइन में पेग-आउट कर लिया। SideSwap का कहना है कि उसके अपने सिस्टम से समझौता नहीं हुआ, और Blockstream के स्टेटस पेज के मुताबिक निकासी में इस्तेमाल हुई पेग-आउट प्राधिकरण कुंजी से भी समझौता नहीं हुआ। चेन को कुछ घंटों में रोक दिया गया; Blockstream के अनुसार उसके ब्रिज नोड 7 सितंबर को 01:09 UTC तक पैच हो चुके थे।

इसके बाद जो हुआ, वही इस कहानी को असामान्य बनाता है, और इसीलिए हमने अपने मुखपृष्ठ पर इसका एक लाइव थ्रेड जोड़ा है। 6 सितंबर को 18:30 UTC पर, सिक्के रखने वाले पते ने एक छोटा लेनदेन किया जिसके OP_RETURN आउटपुट में एक टेक्स्ट संदेश था: "we are whitehats. contact us on chain" (हम व्हाइट हैट हैं, हमसे चेन पर संपर्क करें)। एक घंटे बाद Blockstream के एक पते ने भी चेन पर ही जवाब दिया, अपने सुरक्षा ईमेल की ओर इशारा करते हुए। तब से बातचीत सबके सामने, एक-एक लेनदेन में चली। कुछ संदेश सादे टेक्स्ट में थे, कुछ Blockstream की प्रकाशित PGP कुंजी से हस्ताक्षरित, और कई एन्क्रिप्टेड ताकि सिर्फ़ दोनों पक्ष उन्हें पढ़ सकें। 7 सितंबर की शुरुआत में सिक्के रखने वाले ने लिखा कि ज़्यादातर रकम फेडरेशन के पेग वॉलेट में वापस भेज दी जाएगी, और पूछा कि क्या यह स्वीकार्य है; PGP-हस्ताक्षरित जवाब में हाँ कहा गया। फिर उसने ज़ोर दिया कि किसी भी ट्रांसफ़र से पहले बग ठीक हो और हर नोड पैच हो। 09:41 UTC पर Blockstream के एक हस्ताक्षरित संदेश ने पुष्टि की कि ब्रिज नोड पैच हो चुके हैं और रकम सुरक्षित रूप से लौटाई जा सकती है, और 16:09 UTC पर एक ही लेनदेन ने 3,400 BTC पेग वॉलेट में वापस भेज दिए। बाकी 598.5 BTC, उस समय करीब 47 मिलियन डॉलर, वहीं पड़े रहे।

आज रात कहानी उसी बचे हुए शेष पर टिकी है, और उसका स्वाद कड़वा हो गया है। 7 सितंबर को एक उदास चेहरे वाले संदेश और 8 सितंबर को इस नोट के बाद कि आगे के सभी संदेश सादे टेक्स्ट में होंगे, धारक ने 9 सितंबर को एक अल्टीमेटम पोस्ट किया, जिसमें Blockstream पर सुरक्षा पर बहुत कम खर्च करने का आरोप लगाया और मांग की कि कंपनी अपने पैसे से 10 प्रतिशत बग बाउंटी चुकाए, वरना उसके उपयोगकर्ताओं को 15 प्रतिशत के नुकसान का सामना करना पड़ेगा। Blockstream एन्क्रिप्टेड, हस्ताक्षरित संदेशों में जवाब देता रहा है, आखिरी 10 सितंबर की शुरुआत में, और उसने इस फ्रेमिंग को सार्वजनिक रूप से स्वीकार नहीं किया है। Ledger के मुख्य प्रौद्योगिकी अधिकारी ने कहा कि यह इंतज़ाम व्हाइट-हैट काम से ज़्यादा जबरन वसूली जैसा लगता है, और Signal21 के पास इस समूह की मंशा आंकने का कोई तरीका नहीं है, इसलिए हम उन्हें एक्सप्लॉइटर कहते हैं और दर्ज करते हैं कि व्हाइट-हैट का लेबल उनका अपना दिया हुआ है। बाकी की रिकवरी खुले में दिख रही है: Elements के मेंटेनरों ने 9 सितंबर को एक पैच की हुई रिलीज़ प्रकाशित की, और 10 सितंबर को Blockstream के स्टेटस पेज ने बताया कि Liquid ने एहतियातन उपयोगकर्ता लेनदेन के बिना ब्लॉक बनाना फिर शुरू कर दिया है, जबकि पेग-इन और पेग-आउट अब भी स्थगित हैं। Blockstream के मुख्य कार्यकारी Adam Back के हवाले से कहा गया कि L-BTC की एक-के-बदले-एक पेग पूरी की जाएगी। कमी कौन भरेगा, और कैसे, यह स्पष्ट नहीं किया गया है।

बिटकॉइन धारकों के लिए तीन बातें अलग करके देखने लायक हैं। पहली, इस घटना में किसी चीज़ ने खुद बिटकॉइन को नहीं छुआ: बग एक साइडचेन के सॉफ़्टवेयर में है, चोरी एक फेडरेशन के पास रखे बिटकॉइन की हुई, और बेस लेयर ने निकासी, संदेशों और वापसी को ठीक वैसे ही प्रोसेस किया जैसे वह बाकी सब कुछ करती है। दूसरी, यह याद दिलाता है कि फेडरेटेड साइडचेन कुछ अतिरिक्त कदमों वाली एक कस्टडी व्यवस्था है, और "not your keys" L-BTC पर उतना ही लागू होता है जितना किसी एक्सचेंज बैलेंस पर। तीसरी, बाज़ार ने कंधे उचका दिए। बिटकॉइन 6 सितंबर को लगभग $80,339 पर बंद हुआ और 10 सितंबर की देर शाम करीब $77,275 तक खिसक गया, आज का निचला स्तर $76,630 रहा। इससे भाव उस $75,600 रेखा के ऊपर बना हुआ है जिसे हमारे हालिया नोटों ने मंदड़ियों का बोझ ठहराया है, और $81,000 से $84,000 के उस दायरे के नीचे जिसने मई को थामे रखा और जनवरी के टूटने का स्तर बताता है। हमारे तीनों होराइजन दृष्टिकोण अपरिवर्तित हैं, आज तीनों होराइजन पर उन्हीं दृष्टिकोणों के साथ ताज़ा किए गए; हमारे कैलेंडर में अगला तयशुदा उत्प्रेरक अब भी CLARITY Act पर सीनेट का 15 सितंबर का मतदान है।

हम अपने मुखपृष्ठ पर एक्सप्लॉइटर और Blockstream के बीच का श्रेय-सहित थ्रेड दिखाते हैं, जो ब्लॉक कन्फ़र्म होते ही अपडेट होता है, और हर पंक्ति उस ब्लॉक से जुड़ी है जो उसे ले जाता है। एन्क्रिप्टेड संदेश एन्क्रिप्टेड ही दिखाए जाते हैं; हम उन्हें डिक्रिप्ट नहीं करते और कर भी नहीं सकते। इसका अंत कैसे होता है, यह चेन दर्ज करेगी।

यह प्रकाशन बाज़ार विश्लेषण है, न कि खरीदने या बेचने की सिफ़ारिश।