320 Triệu USD Rút Khỏi Liquid Network Giữa Nghi Vấn Về Danh Tính "White-Hat"

Chuyện gì đã xảy ra

4.000 BTC đã rời khỏi ví Federation của Liquid Network vào ngày 6 tháng 9 năm 2026 – tương đương khoảng 320 triệu USD tại thời điểm sự việc. Theo ForkLog, nhóm Liquid Network đã thông báo công khai về sự cố này và cho biết Blockstream đang liên hệ những người chịu trách nhiệm qua thông điệp ký trên chain.

The Block đưa tin sidechain Bitcoin bị tạm dừng ngay lập tức, các sàn giao dịch đình chỉ nạp và rút LBTC trong khi Blockstream đánh giá tình hình. Theo Cointelegraph BR, một thông điệp OP_RETURN được để lại on-chain bởi những người lấy tiền ghi: "somos white hats. Entre em contato conosco on-chain."

Chính nhóm Liquid Network mô tả các tác nhân này là "các hacker white-hat được cho là vậy" – cách đặt vấn đề ngay lập tức vấp phải chỉ trích. CTO của Ledger đã công khai đặt câu hỏi về nhãn white-hat gắn với vụ rút 320 triệu USD này, dù không khẳng định thẳng đây là hành vi trộm cắp, theo ghi nhận của BeInCrypto ID và BeInCrypto VI.

Cơ chế tấn công

Vector tấn công được báo cáo là unbacked cross-chain mint – một loại khai thác trong đó kẻ tấn công tạo ra token được bọc hoặc bắc cầu mà không khóa tài sản thế chấp tương ứng trên chuỗi nguồn. Trong trường hợp của Liquid, LBTC là đại diện bọc của Bitcoin di chuyển qua sidechain. Nếu kẻ tấn công có thể kích hoạt sự kiện mint mà không cần gửi BTC gốc, họ sẽ nắm giữ token không có tài sản bảo đảm trong khi giao thức ghi nhận một khoản nợ không thể thanh toán.

Liquid vận hành theo mô hình Federation: một nhóm các bên ký xác nhận tập thể kiểm soát chốt. Cơ chế này chuyển mô hình bảo mật ra khỏi logic hợp đồng thông minh on-chain và hướng vào tính toàn vẹn của các bên ký và cơ sở hạ tầng ký. Việc xâm phạm lớp ký đó – dù qua đánh cắp khóa, replay chữ ký, hay lỗ hổng trong cách Federation xử lý lệnh mint – có thể rút cạn ví chốt mà không kích hoạt cảnh báo on-chain cho đến khi tiền đã biến mất.

Chúng tôi chưa có phân tích kỹ thuật xác nhận chính xác thành phần nào đã thất bại. Điều các nguồn tin xác nhận là khoảng 4.000 BTC đã rời ví Federation, bridge bị tạm dừng và Blockstream đang trong quá trình xác định những người chịu trách nhiệm. Chúng tôi sẽ cập nhật phân tích này khi Blockstream công bố post-mortem.

Quỹ người dùng nào đang gặp rủi ro

Con số 4.000 BTC là vụ rút đã được xác nhận theo báo cáo của ForkLog và Cointelegraph BR. Bất kỳ ai đang nắm giữ LBTC trên sàn giao dịch hoặc trong ví tại thời điểm xảy ra sự cố đều đối mặt với sự bất ổn cho đến khi Blockstream xác nhận liệu chốt có được thế chấp đầy đủ hay chỉ một phần.

Các sàn giao dịch đã hành động nhanh chóng. Như The Block xác nhận, nạp và rút LBTC đã bị đình chỉ trên các nền tảng như một biện pháp phòng ngừa. Lệnh đóng băng này bảo vệ khỏi dòng tiền chảy ra thêm nhưng đồng nghĩa người nắm giữ LBTC hiện không thể đổi lại vị thế của mình.

Khả năng thu hồi quỹ phụ thuộc hoàn toàn vào ý định của những người đã lấy chúng. Nếu tuyên bố white-hat là thật, việc hoàn trả 4.000 BTC là khả thi. Nếu không, xác suất thu hồi giảm mạnh – giao dịch Bitcoin không thể đảo ngược, và mô hình Federation không có cơ chế quản trị on-chain nào để buộc rollback. Sự nghi ngờ công khai của CTO Ledger, được BeInCrypto TR đưa tin, phản ánh bằng chứng về thiện chí mỏng mảnh đến mức nào ở giai đoạn này.

Nhận diện mẫu hình

Sự kiện này thuộc về một họ khai thác đã được ghi chép rõ: xâm phạm federation hoặc bridge multisig dẫn đến mint trái phép hoặc rút cạn trực tiếp. Ba trường hợp trước đây có cùng dấu hiệu cấu trúc.

Ronin Network: Các nguồn tin đưa tin về sự cố Liquid này đã rõ ràng đưa ra so sánh trong bài tường thuật. Bridge Ronin, bảo đảm tài sản cho Axie Infinity, dựa vào một tập hợp validator nhỏ. Kẻ tấn công đã xâm phạm đủ số khóa validator để ủy quyền các lệnh rút gian lận. Bài học tương tự ở đây: khi bảo mật dựa trên một liên minh những người nắm giữ khóa thay vì code không cần tin tưởng, bề mặt tấn công chính là con người và cơ sở hạ tầng quản lý khóa của họ.

Wormhole: Khai thác bridge Wormhole liên quan đến lỗ hổng trong cách giao thức xác minh chữ ký guardian trước khi mint token bọc. Kẻ tấn công đã mint ETH bọc mà không cần gửi tài sản thế chấp gốc – về mặt cấu trúc giống hệt unbacked cross-chain mint. Cơ chế khác nhưng kết quả tương đồng: một bridge tin rằng mình có tài sản thế chấp nhưng thực tế không có.

BSC Bridge: Bridge BNB Chain bị khai thác cho phép kẻ tấn công tạo ra các thông điệp proof giả mạo mà bridge chấp nhận là hợp lệ, một lần nữa tạo ra token không có tài sản bảo đảm thực sự. Sự cố đó cũng kích hoạt tạm dừng chain – phản ứng tương tự Blockstream thực hiện ở đây.

Điểm chung xuyên suốt cả ba trường hợp: khoảnh khắc một bridge tin tưởng một thông điệp thay vì xác minh tài sản thế chấp ở cả hai đầu một cách nguyên tử, nó tạo ra khoảng trống mà kẻ tấn công có thể bước vào.

Nên làm gì ngay bây giờ

• Không nạp hoặc rút LBTC. Các sàn giao dịch đã đình chỉ các hoạt động này. Mọi nỗ lực di chuyển LBTC ngoài luồng chính thức của sàn đều mang rủi ro giao dịch với tài sản không đủ thế chấp.
• Kiểm tra trang trạng thái của sàn giao dịch. Nếu bạn nắm giữ LBTC trên bất kỳ sàn nào, hãy xác nhận sàn đó có tạm dừng các hoạt động liên quan đến LBTC không và theo dõi thông tin liên lạc chính thức của họ để cập nhật về khả năng đổi lại.
• Không nhận LBTC làm thanh toán. Cho đến khi Blockstream xác nhận chốt còn nguyên vẹn và bridge hoạt động trở lại, tài sản thế chấp của LBTC chưa được kiểm chứng. Nhận nó làm thanh toán cho hàng hóa hoặc dịch vụ đặt bạn trước toàn bộ rủi ro nếu tuyên bố white-hat chứng minh là sai.
• Theo dõi các kênh chính thức của Blockstream và thông điệp on-chain. Blockstream tuyên bố đang liên hệ những người chịu trách nhiệm qua thông điệp ký on-chain. Mọi phản hồi đã xác nhận từ các tác nhân sẽ hiển thị on-chain trước khi xuất hiện trên báo chí.
• Nếu bạn nắm giữ BTC trực tiếp trên Liquid (không bọc ở nơi khác), hãy liên hệ trực tiếp với người giám sát của bạn. Mức độ rủi ro của bạn phụ thuộc vào việc BTC của bạn có nằm trong ví Federation không hay được giữ riêng. Đừng suy đoán – hãy yêu cầu xác nhận bằng văn bản về trạng thái số dư cụ thể của bạn.

Câu hỏi thường gặp

Liquid Network có đang hoạt động bình thường không?

Không. Theo báo cáo từ The Block, sidechain đã bị tạm dừng và các sàn giao dịch đã đình chỉ nạp và rút LBTC trong khi Blockstream điều tra.

Những người lấy quỹ có thực sự là hacker white-hat không?

Họ để lại một thông điệp on-chain tuyên bố mình là white-hat, nhưng CTO của Ledger đã công khai đặt câu hỏi về nhãn đó mà không khẳng định thẳng là hành vi trộm cắp, theo BeInCrypto ID. Tại thời điểm viết bài, không có xác minh độc lập nào về tuyên bố này.

4.000 BTC có thể được hoàn trả không?

Blockstream đang cố gắng liên hệ những người chịu trách nhiệm qua thông điệp ký on-chain, theo ForkLog. Việc hoàn trả là khả thi nếu các tác nhân hợp tác, nhưng giao dịch Bitcoin không thể bị đảo ngược bởi chính mạng lưới, vì vậy khả năng thu hồi phụ thuộc hoàn toàn vào sự sẵn sàng hoàn trả tiền của họ.