リキッド公式説明、検証機能の脆弱性で4000ビットコイン流出

この記事のポイント

準備金は4205BTCから197BTCに減少
攻撃者は白色ハッカーを自称、返還交渉が継続

脆弱性悪用で4000BTC流出

リキッドネットワークは9日、公式説明で9月6日15時53分（協定世界時、リキッドブロック4,050,336）に発生した不正流出事件の詳細を明らかにした。

運営元のブロックストリーム（Blockstream）によると、同社が手がけるビットコイン（BTC）のサイドチェーンでは、オープンソースソフトウェア「エレメンツ（Elements）」の検証プロセスに存在した脆弱性が悪用され、準備BTCの裏付けを持たない約4,000LBTCが不正に生成されたという。

リキッドネットワークが発行するUSDTなど他の資産自体は今回の脆弱性の影響を受けていないが、ネットワーク停止に伴い一時的に利用できない状態が続く。運営元は利用者に対し、現時点で資産保護のための対応は不要としている。

リキッドネットワークのビットコイン流出事件で、自称ホワイトハットが3400BTCを返還し600BTCを保有継続。流出原因はエレメンツのバグと判明。

サイドスワップ経由でペグアウト

攻撃者はリキッド連合（Liquid Federation）の一員でペグアウト認証鍵（PAK）を保有するサイドスワップ（SideSwap）の標準的なペグアウト機能を使い、不正なLBTCを通常のBTCへ交換した。

検証エラーはペグアウト実行前の取引段階で発生していたため、サイドスワップ側のノードとリキッド連合の各機能ノード（functionary）はこれを正規のLBTCとして受理し、約4,000BTCがサイドスワップのホワイトリスト登録済みアドレスを経由して攻撃者側のアドレスへ送金された。

リキッドネットワーク側は、機能ノードのハッキングや秘密鍵の漏えいはなく、ペグアウトの仕組みそのものは設計どおりに作動したと説明している。

事件前に約4,205BTCあった準備金は、9月6日の流出と停止までに処理された追加のペグアウト分を合わせ、約197BTCまで減少した。原因究明は続いており、単独では発生確率の低い複数の要因が重なって既存の防御機構を突破したとしている。

コインゲッコーの最新報告によると、仮想通貨市場では2025年1月〜2026年7月の19か月間で245件のハッキング被害が発生。被害総額は約5,800億円に達したことが分かった。

3400BTC返還、残り598BTC交渉

攻撃者はビットコインのメインチェーン上に、自らを白色（ホワイトハット）のセキュリティ研究者と名乗るメッセージを残し、脆弱性対応への連絡を呼びかけた。

ブロックストリームは9月7日1時9分（協定世界時）までにブリッジノード向けの修正パッチを配置し、脆弱性を突けない状態にした。同日16時9分（協定世界時）には、攻撃者側から3400BTCがリキッド連合のペグウォレットへ返還されたが、全体の約15％にあたる約598.5BTCは9月8日時点でも未回収で、返還交渉が続いている。

今後は、修正済みソフトウェア「エレメンツv23.3.4」の緊急版を48時間以内をめどに公開し、機能ノード運営者が不正なペグアウトの無効化を含む調整を行ったうえでネットワークの正常化を進める計画。

リキッドネットワークは現時点でも停止したままで、利用者は取引できない状態が続くが、ノードを運営していない一般利用者が独自に取るべき対応は現時点でないとしている。