Der Rückfluss von 3.400 Bitcoin an eine Adresse der Liquid-Föderation wurde am 7. September um 16:09 UTC verbucht — rund 85 Prozent der entzogenen Summe. Die verbleibenden 598,5 Bitcoin sind keine separate Zahlung, sondern das Wechselgeld derselben Transaktion, das an die Ursprungsadresse zurückging. Dort lagen die Mittel laut dem Block-Explorer mempool.space auch am 8. September noch.
Der Abfluss lief über den Peg-out Authorization Key von SideSwap, einen der Schlüssel, die Mittel aus der Sidechain freigeben. Dieser Schlüssel “war nicht kompromittiert, und auch kein anderer”, erklärte Blockstream. Ein Peg-out vernichtet L-BTC auf der Sidechain und gibt die entsprechende Menge Bitcoin auf der Hauptkette frei. Nach Angaben von SideSwap, über die Unchained berichtete, hatte ein Fehler in Elements — der Software, auf der Liquid läuft — die für den Abzug genutzten L-BTC überhaupt erst erzeugt. Auch die eigenen Systeme seien nicht kompromittiert worden, so SideSwap.
Liquid erläuterte die Schwachstelle bei der Bekanntgabe des Vorfalls nicht, und auch Blockstreams Vorfallsseite beschreibt sie nicht.
Die Kommunikation zwischen beiden Seiten lief öffentlich über die Bitcoin-Blockchain. Eine frühe, in eine Transaktion geschriebene Nachricht lautete laut The Block: “Wir sind White Hats. Kontaktiert uns on-chain.” Die Gruppe verlangte laut Unchained, dass der Fehler behoben und jede Node gepatcht werde, bevor sie etwas zurücksende. Blockstream antwortete mit einer signierten Nachricht, wonach die eigenen Bridge-Nodes gepatcht seien und die Mittel gefahrlos zurückgeschickt werden könnten.
Um 15:31 UTC am 7. September wurde eine Transaktion bestätigt, die 1.000 Satoshi — 0,00001 Bitcoin — an die Föderationsadresse sandte, versehen mit einer PGP-verschlüsselten Nachricht. Deren Inhalt ist nicht öffentlich. Die 3.400 Bitcoin folgten 38 Minuten später.
Blockstream erklärte laut Unchained, aktualisierte Software sei ausgerollt worden, die Mitglieder der Föderation bereiteten einen koordinierten Neustart vor. Samson Mow, Chef von JAN3 und früherer Blockstream-Manager, bezifferte den nicht zurückgegebenen Betrag auf rund 598 Bitcoin und sagte, Blockstream stehe weiterhin in Kontakt mit der Gruppe.
Stand 8. September führte Blockstreams Statusseite den Vorfall weiterhin als aktiv, die öffentlichen Bridge-Nodes als ausgefallen; die Rückgabe war dort nicht vermerkt. Wie viel Bitcoin L-BTC derzeit deckt, geht daraus nicht hervor. Mow riet Nutzern, bis zur bestätigten Wiederinbetriebnahme keine Bitcoin an Liquids Peg-in-Adressen zu senden, über die L-BTC erzeugt werden. Andere auf Liquid ausgegebene Vermögenswerte, darunter USDT und DePix, sind laut Blockstream nicht betroffen.
Die Selbstbezeichnung als White Hats stößt nicht überall auf Zustimmung. Charles Guillemet, Technikchef von Ledger, wies das Etikett laut Unchained zurück: Handle es sich bei den weiterhin gehaltenen rund 600 Bitcoin um eine über verschlüsselte Blockchain-Nachrichten ausgehandelte Belohnung, ähnele die Konstruktion eher einer Erpressung.