Am Sonntagabend haben Unbekannte rund 4.000 Bitcoin aus dem Liquid Network abgezogen, einer Nebenkette von Bitcoin, über die Börsen Guthaben schnell hin und her schieben. Blockstream, die Firma hinter dem Netzwerk, hat den Betrieb angehalten. Beim Liquid Network Hack ist kein einziger Schlüssel gestohlen worden, der Fehler steckte in der Software. Die Täter nennen sich White Hats und wollen den Großteil zurückgeben. Bis dahin fehlen im Tresor der Sidechain rund 320 Mio. US-Dollar.
Was ist passiert
Liquid hat den Vorfall am Sonntag, 6. September 2026, in einer Mitteilung auf X bestätigt. Rund 4.000 Bitcoin wurden aus der Wallet der Föderation abgezogen, dem gemeinsamen Tresor hinter der Nebenkette. Vorher lagen dort rund 4.200 Bitcoin.
Liquid schaltete die Brücken-Server ab, über die neue Transaktionen ins Netz gelangen. Seitdem steht die Sidechain still. Börsen stoppten Ein- und Auszahlungen von L-BTC, dem Bitcoin-Abbild auf Liquid. Andere Werte wie der Dollar-Stablecoin USDT sind nach Angaben von Liquid unversehrt, lassen sich aber nicht bewegen.
Wie leer der Tresor ist, kann jeder auf der Seite des Netzwerks nachsehen: 4.205,02 L-BTC im Umlauf, 197,47 Bitcoin Bestand, eine Deckung von 4,7 %. Binnen 30 Tagen hat der Bestand um 3.785,61 Bitcoin abgenommen.
In eine ihrer Transaktionen hatten die Täter eine Nachricht geschrieben: Sie seien White Hats, also Hacker mit guten Absichten, Kontakt bitte über die Blockchain. Blockstream antwortete auf demselben Weg. Stunden später boten die Täter an, den Großteil zurückzuschicken, unter einer Bedingung: erst die Lücke schließen, jeden Rechner im Netz aktualisieren.
Wann Liquid wieder anläuft, hat niemand gesagt.
Was das Liquid Network überhaupt ist
Bitcoin ist sicher, aber langsam. Bis eine Überweisung in einem Block steht, vergehen im Schnitt zehn Minuten, bei vollem Netz länger. Wer Guthaben mehrmals am Tag zwischen Handelsplätzen verschiebt, verliert damit Zeit und Gebühren. Blockstream hat deshalb 2018 das Liquid Network gestartet, eine Nebenkette neben Bitcoin. In der Fachsprache heißt so etwas Sidechain, im Alltag läuft es meist unter Layer 2, auch wenn Liquid streng genommen eine eigene Kette mit eigener Absicherung ist.
Ein Beispiel: Du siehst Bitcoin auf einer Börse ein paar hundert Dollar teurer als auf einer anderen und willst die Differenz mitnehmen. Über die Hauptkette überweist du, wartest auf Bestätigungen und zahlst Gebühren. Bis das Geld ankommt, ist der Preisunterschied meist weg. Unterstützen beide Börsen Liquid, schickst du das Guthaben stattdessen als L-BTC und bist in ein bis zwei Minuten drüben. Genau dafür ist die Nebenkette gebaut, und deshalb sind ihre Nutzer Handelsplätze wie Bitfinex und BTSE, keine Sparer.
Der Weg hinein heißt Peg-in. Du schickst echte Bitcoin an die Föderation, sie sperrt sie in einem gemeinsamen Tresor ein und schreibt dir die gleiche Menge L-BTC gut. Ein L-BTC ist kein Bitcoin, sondern ein Pfandschein darauf. Im Krypto-Jargon heißt so etwas Wrapped Token: das Abbild einer Münze auf einer anderen Kette, gedeckt durch das Original im Tresor. Der Rückweg heißt Peg-out, Pfandschein abgeben, echte Bitcoin zurückbekommen. Er läuft nur über wenige Anbieter mit einem eigenen Freigabeschlüssel, einer davon ist die Handelsplattform SideSwap.
Den Unterschied zu Bitcoin macht, wer die Regeln durchsetzt. Bitcoin schützt seine Blockchain mit Rechenleistung, dem sogenannten Proof of Work. Auf Liquid übernimmt das die Föderation, eine Gruppe von Firmen, deren Rechner die Bücher führen und den Tresor verwalten. Laut Bloomberg gehören mehr als 80 Börsen, Infrastrukturfirmen und Vermögensverwalter dazu. Wer L-BTC hält, vertraut also dieser Gruppe und ihrer Software. Genau dort lag das Problem.
Wie die Lücke im Liquid Network funktioniert
Der Fehler lag nach Angaben von SideSwap in Elements, dem Programm, auf dem Liquid läuft. Die Prüfung von Transaktionen legt fertige Ergebnisse in einem Zwischenspeicher ab, damit nicht jedes Mal alles neu gerechnet wird. Dieser Speicher unterschied bestimmte Eigenschaften einer Transaktion nicht. Wurde sie nachträglich verändert, griff die Prüfung auf den alten Vermerk zurück und hielt sie weiter für gültig. So entstanden L-BTC, hinter denen keine echten Bitcoin lagen.
Ron, Bitcoin-Experte und Mentor bei Haag Sondershausen, vergleicht das mit einem Scheck. Die Bank prüft ihn einmal und hält das Ergebnis fest. Danach ändert jemand die Angaben auf dem Papier, und die Bank verlässt sich auf ihren alten Prüfvermerk.
Für SideSwap sahen diese L-BTC aus wie normale, vom Netzwerk bestätigte Coins. Der Auftrag kam als gewöhnliche Kundenauszahlung an, also flossen echte Bitcoin heraus. Kein Passwort, kein privater Schlüssel, auch der Freigabeschlüssel blieb unangetastet. Wie schon bei der Sicherheitslücke der Hardware-Wallet Coldcard reichte ein Programmierfehler.
Was das für Trader und Anleger heißt
Zuerst die Entwarnung: Bitcoin selbst ist nicht betroffen, die Hauptkette läuft weiter. Wer seine Bitcoin in einer eigenen Wallet oder bei einer Börse ohne Liquid-Anbindung hält, merkt von dem Vorfall nichts.
Betroffen ist, wer L-BTC hält oder Bitcoin gerade über Liquid zwischen zwei Börsen unterwegs hat. Solange der Tresor voll ist, merkt niemand den Unterschied zwischen Pfandschein und Münze. Jetzt deckt er noch 4,7 % der Ansprüche, und plötzlich zählt die Frage, wer für den Rest geradesteht. Was du wirklich besitzt und was nur ein Anspruch ist, erklären wir im Artikel zu Hot und Cold Wallets.
Wie es weitergeht, hängt fast nur von den Tätern ab. Angeboten ist der Großteil, ein Teil könnte als Belohnung hängen bleiben. Kommt nichts zurück, müssen Föderation und Börsen entscheiden, wer die Kunden auszahlt. Dass sich jemand White Hat nennt, heißt wenig, den Titel vergibt man sich selbst. Beim Angriff auf Bybit Anfang 2025 kam nichts zurück, wie hier nachzulesen ist.
Ron ordnet den Fall grundsätzlicher ein. Jede zusätzliche Schicht über Bitcoin bringt eigene Angriffsflächen und Abhängigkeiten mit. Wer maximale Sicherheit über alles stellt, hält größere Beträge nach seiner Einschätzung nur so lange außerhalb der Hauptkette wie nötig, weil dort die Sicherheit unmittelbar am Bitcoin-Konsens hängt. Das ist eine technische Einordnung und kein Anlagerat.
Was jetzt zählt
Der Fall reiht sich in eine Serie ein. Im Sommer traf es Coldcard, im August legte BitBox zwei selbst gefundene Sicherheitslücken offen, in der Vorwoche verlor eine Lending-Plattform nahe Crypto.com 6 Mio. US-Dollar. Aneirin Flynn von der Sicherheitsfirma FailSafe sieht darin gegenüber Bloomberg eine kritische Schwäche im Prüf- und Deckungsmodell von Liquid. Drei Dinge lohnt es sich zu beobachten:
- Der Patch. Blockstream hat die Brückenknoten repariert und das den Tätern in der Kette bestätigt. Offen bleibt der Nachweis, dass jeder Rechner im Netz aktualisiert ist.
- Die Rückgabe und der Neustart. 3.400 Bitcoin sind zurück, rund 598 bleiben auf einer bekannten Adresse, jede Bewegung dort ist öffentlich sichtbar. Erst nach dem Neustart geben die Börsen L-BTC wieder frei.
- Die Aufarbeitung. Blockstream schuldet eine Erklärung, wie ein Prüffehler ungedeckte L-BTC erzeugen konnte. Bei SideSwap fehlten offenbar Grenzwerte gegen ungewöhnlich große Auszahlungen.
Wer eine Lücke findet, meldet sie üblicherweise vertraulich. Hier flossen erst mehrere tausend Bitcoin ab.
Wer Bitcoin nur auf der Hauptkette hält, muss nichts tun. Wer L-BTC hält, kann gerade nur warten.
Dieser Artikel ist eine allgemeine Einordnung und keine Anlage-, Rechts- oder Steuerberatung.
Häufige Fragen zum Liquid Network Hack
Was ist beim Liquid Network Hack passiert?
Am 6. September 2026 wurden rund 4.000 Bitcoin aus dem gemeinsamen Tresor des Liquid Network abgezogen, umgerechnet rund 320 Mio. US-Dollar. Möglich machte das ein Fehler in der Software Elements, auf der die Sidechain läuft. Blockstream hat das Netzwerk angehalten, Börsen stoppten Ein- und Auszahlungen von L-BTC. Die Täter nennen sich White Hats und bieten an, den Großteil zurückzugeben.
Ist mein Bitcoin auf der Hauptkette betroffen?
Nein. Die Lücke betraf die Nebenkette Liquid und ihre Software. Die Bitcoin-Blockchain selbst lief die ganze Zeit weiter. Wer Bitcoin in einer eigenen Wallet oder bei einer Börse ohne Liquid-Anbindung hält, ist von dem Vorfall nicht berührt.
Was ist L-BTC und wie viel Deckung steht noch dahinter?
L-BTC ist das Abbild eines Bitcoins auf Liquid, im Krypto-Jargon ein Wrapped Token, also ein Pfandschein auf einen echten Bitcoin im Tresor der Föderation. Laut der Übersicht auf liquid.network stehen 4.205,02 L-BTC im Umlauf einem Bestand von 197,47 Bitcoin gegenüber. Das ist eine Deckung von 4,7 %.
Wie konnte der Fehler entstehen?
Die Transaktionsprüfung von Liquid legt bereits geprüfte Ergebnisse in einem Zwischenspeicher ab. Dieser Speicher unterschied bestimmte Eigenschaften einer Transaktion nicht. Eine nachträglich veränderte Transaktion griff deshalb auf ein altes Ergebnis zurück und galt weiter als gültig. So entstanden L-BTC ohne Deckung, die über den Peg-out von SideSwap in echte Bitcoin getauscht wurden.
Bekommen die Betroffenen ihr Geld zurück?
Zum Teil ja. Die Täter haben 3.400 der rund 4.000 Bitcoin zurückgeschickt, rund 269 Mio. USD. 598,5 Bitcoin, rund 47 Mio. USD, bleiben bei ihnen. Ob davon noch etwas zurückkommt, ist offen. Eine Garantie gibt es nicht, beim Angriff auf Bybit 2025 kam nichts zurück.
Was ist das Liquid Network?
Das Liquid Network ist eine Nebenkette von Bitcoin, eine sogenannte Sidechain, die Blockstream 2018 gestartet hat. Wer sie nutzt, schickt echte Bitcoin an eine Gruppe von Firmen, die Föderation, und bekommt dafür die gleiche Menge L-BTC. Damit lassen sich Beträge in ein bis zwei Minuten zwischen zwei Börsen bewegen statt in zehn oder mehr, weshalb vor allem Handelsplätze Liquid für die Abwicklung untereinander nutzen. Abgesichert wird die Nebenkette nicht durch Rechenleistung wie Bitcoin selbst, sondern durch die Föderation und ihre Software.