News
Blockstream verweigert Lösegeld: Liquid-Hacker halten noch rund 598 BTC zurück
Von KryptoRatgeber · veröffentlicht 11. September 2026
Laut übereinstimmenden Berichten von Cointelegraph und Decrypt haben unbekannte Angreifer am 6. September 2026 rund 4.000 Bitcoin — damaliger Gegenwert etwa 320 Millionen US-Dollar — aus dem Liquid Network abgezogen, einer Erweiterungsschicht für Bitcoin. Die Hacker verlangten anschließend eine Zahlung von Blockstream, dem Betreiber des Netzwerks, und drohten andernfalls mit weiteren Verlusten für Nutzer — doch das Unternehmen lehnte ab. Rund 598 Bitcoin im Wert von etwa 47 Millionen US-Dollar sind nach aktuellem Stand noch nicht zurückgegeben.
Ein Softwarefehler als Einfallstor: Wie die Angreifer gefälschte Token gegen echtes Bitcoin tauschten
Der Schlüssel zum Angriff lag laut Decrypt in einem Fehler im Elements-Code — der Open-Source-Software, auf der das Liquid Network aufbaut. Dieser Fehler ermöglichte es, L-BTC-Token zu erzeugen, die durch kein echtes Bitcoin gedeckt waren. Die Angreifer tauschten diese wertlosen Kunsttoken über SideSwap — ein Mitglied der Liquid Federation, also des Zusammenschlusses von Unternehmen, das das Netzwerk gemeinsam betreibt — gegen echte Bitcoin-Reserven ein. Private Schlüssel der Federation wurden dabei nicht kompromittiert; die Schwachstelle war rein logischer Natur.
Nachdem Blockstream die betroffenen Netzwerkknoten notfallmäßig gepatcht hatte, gaben die Angreifer laut Cointelegraph 3.400 Bitcoin zurück — machten ihre Rückgabe aber zur Verhandlungsmasse: Per Nachricht direkt auf der Blockchain forderten sie eine Prämie von 10 Prozent aus Blockstreams eigener Tasche. Andernfalls drohten sie Liquid-Nutzern mit einem Verlust von 15 Prozent ihrer Guthaben. Blockstream wies die Forderung zurück und stellte klar, das Vorgehen sei kein legitimes Sicherheitstest — sondern schlicht Diebstahl: „It is theft." Am 11. September 2026 nahm das Netzwerk den Blockbetrieb wieder auf, produzierte aber zunächst nur leere Blöcke; Bitcoin-Ein- und Auszahlungen blieben gesperrt.
Erpressung nach Exploit: Warum Blockstreams Nein die richtige Antwort war
Blockstreams klare Ansage — „It is theft" — ist mehr als eine PR-Formulierung. Sie zieht eine wichtige Trennlinie, die in der Kryptowelt oft verschwimmt: zwischen echtem White-Hat-Hacking — also der verantwortungsvollen Meldung einer Sicherheitslücke ohne eigenen Vorteil — und einer Erpressung, die als Sicherheitsforschung verkleidet wird. Wer eine Schwachstelle ausnutzt, Millionen abzieht und dann Geld für die Rückgabe fordert, ist kein Sicherheitsforscher. Das ist ein Erpresser mit einem technischen Werkzeug.
Für Nutzer in Deutschland ist ein anderer Aspekt besonders relevant: Der Angriff erfolgte nicht durch den Diebstahl geheimer Schlüssel — also nicht durch das Knacken einer digitalen Tresor-Tür — sondern durch einen Softwarefehler im Protokoll selbst. Das zeigt, dass selbst Systeme ohne offensichtliche Sicherheitslücken verwundbar sein können, wenn der zugrundeliegende Code ungeprüfte Annahmen enthält. Für jeden, der Werte in Erweiterungsschichten oder über Brücken zwischen Blockchains hält, ist das eine ernüchternde Erinnerung: Die Sicherheit ist immer nur so stark wie der schwächste Baustein im System.
Dass Blockstream die Forderung ablehnte, sendet ein richtiges Signal an potenzielle Nachahmer: Wer zahlt, macht sich zum lohnenden Ziel. Gleichzeitig bleibt die unbequeme Wahrheit, dass rund 47 Millionen US-Dollar vorerst unauffindbar sind — und dass forensische Verfolgung on-chain zwar möglich, aber kein Garant für eine Rückholung ist. Die Kooperation mit Strafverfolgungsbehörden ist der sinnvollste Schritt, aber kein schneller.
Liquid Network: Bitcoins Erweiterungsschicht mit Vertrauensmodell
Das Liquid Network ist eine sogenannte Sidechain — eine eigenständige Blockchain, die parallel zu Bitcoin läuft und schnellere Transaktionen sowie zusätzliche Funktionen ermöglichen soll. Wer Bitcoin in das Liquid Network einbringt, erhält dort L-BTC, eine eins-zu-eins gedeckte Entsprechung. Die Brücke zwischen beiden Systemen — also der Mechanismus, der echte Bitcoin gegen L-BTC tauscht — funktioniert nicht automatisch durch Code allein, sondern wird von einer Gruppe ausgewählter Teilnehmer gemeinsam kontrolliert, der sogenannten Federation.
Dieses Vertrauensmodell unterscheidet Liquid grundlegend von vollständig automatisierten Protokollen: Statt mathematischer Garantien übernehmen lizenzierte Mitglieder, darunter Börsen und Dienstleister, gemeinschaftlich die Verantwortung für die Verwahrung. Blockstream entwickelt die zugrundeliegende Software, das quelloffene Elements-Framework. Genau in diesem Code lag die Schwachstelle, die Angreifer ausnutzten — nicht in den privaten Schlüsseln der Federation-Mitglieder.
Häufige Fragen
Waren alle Liquid-Nutzer und deren Token von dem Angriff betroffen?
Nicht alle Vermögenswerte im Liquid Network waren gleichermaßen gefährdet. Laut Decrypt nutzte die Schwachstelle ausschließlich den nativen L-BTC-Token — also die Bitcoin-Darstellung innerhalb des Netzwerks. Andere dort gehandelte Token wie USDT waren von dem Fehler nicht betroffen. Wie weit einzelne Nutzer konkrete Verluste erlitten, hängt davon ab, ob sie L-BTC in ihren Wallets hielten und ob das Netzwerk die Lücke rechtzeitig schließen konnte.
Was unterscheidet diesen Vorfall von klassischer Sicherheitsforschung?
Echte White-Hat-Hacker — also Sicherheitsforscher, die Schwachstellen aufdecken, um zu helfen — melden Lücken vertraulich an das betroffene Unternehmen, ohne Gegenleistungen zu fordern oder Drohungen auszusprechen. In diesem Fall hingegen verlangten die Angreifer laut Cointelegraph eine Zahlung und drohten Nutzern mit Verlusten. Blockstream bezeichnete das Vorgehen daher ausdrücklich als Diebstahl — eine Einschätzung, die mit der üblichen Definition verantwortungsvoller Sicherheitsforschung übereinstimmt.