Der bislang grösste Krypto-Diebstahl des Jahres 2026 traf nicht die Bitcoin-Blockchain selbst, sondern eine daran angedockte Seitenkette. Am 6. September zogen Angreifer rund 4.000 Bitcoin im Wert von etwa 319 Millionen Dollar aus dem Liquid Network ab, einer von Blockstream betriebenen Sidechain. Einen Tag später gaben sie den Grossteil zurück. Der Fall zeigt DACH-Anlegern, wie wichtig es ist, zwischen dem Bitcoin-Hauptnetz und den Ebenen darüber zu unterscheiden.
36 Minuten vom Angriff bis zur Auszahlung
Der Ablauf war schnell und präzise. Um 13:53 UTC nutzten die Täter einen Fehler in der Validierungssoftware Elements, konkret in einem Zwischenspeicher für sogenannte Range Proofs. Dadurch konnten sie etwa 4.000 L-BTC erzeugen, also synthetische Bitcoin ohne echte Deckung. Weil der Zwischenspeicher die Token fälschlich als bereits geprüft behandelte, passierten sie die Kontrolle des Netzwerks.
Um 14:06 UTC stellten die Angreifer über SideSwap, einen zugelassenen Betreiber, einen Auszahlungsantrag. Die Federation aus 15 Teilnehmern gab die Zahlung frei, weil der Zustand der Kette gültig erschien. Um 14:28 UTC war die Auszahlung abgeschlossen. Vom Erzeugen der ungedeckten Token bis zum Abfluss vergingen nur 36 Minuten.
Warum das kein Bitcoin-Problem ist
Das Liquid Network ist eine Sidechain, die von einem Verbund aus Börsen und Infrastrukturfirmen betrieben wird. Anders als das Bitcoin-Hauptnetz, das tausende unabhängige Knoten absichern, verwaltet hier eine Federation mit einem 11-von-15-Multisig die hinterlegten Bitcoin. Genau diese Bündelung war der Angriffspunkt. Die Sicherheit der Bitcoin-Basisschicht war zu keinem Zeitpunkt betroffen. Für Anleger ist das eine wichtige Unterscheidung, denn Seitenketten, Bridges und Verwahrlösungen bringen ihre eigenen Risiken mit, die mit dem zugrunde liegenden Netzwerk wenig zu tun haben.
Der Vorfall reiht sich in eine Serie von Angriffen ein. Bereits im August summierten sich die Verluste durch DeFi-Angriffe auf über 215 Millionen Dollar, und die Exploit-Welle setzte sich im September fort. Fast immer war nicht die Kryptografie das Problem, sondern fehlerhafter Code in der Software drumherum.
Der grösste Teil kam zurück
Am 7. September überwiesen die Angreifer rund 3.400 Bitcoin im Wert von etwa 272 Millionen Dollar zurück, das sind rund 85 Prozent der Beute. Die verbleibenden etwa 598,5 Bitcoin, gut 47 Millionen Dollar, behielten sie und bezeichneten den Betrag als Belohnung. In einer Nachricht auf der Blockchain schrieben sie: 'we are whitehats. contact us on chain'. Ob es sich tatsächlich um wohlmeinende Sicherheitsforscher handelt oder um eine nachträgliche Rechtfertigung, ist offen.
Die Lehre für Anleger
Wer Bitcoin auf einer Sidechain oder bei einem Verwahrer hält, vertraut auf deren Software und Schlüsselverwaltung, nicht allein auf das Bitcoin-Protokoll. Die eigene Verwahrung bleibt die einzige Variante, bei der kein Dritter die Schlüssel kontrolliert. Wie ein Hardware-Wallet dabei hilft und wo seine Grenzen liegen, haben wir in unserem Beitrag zur Self-Custody mit Hardware-Wallets erklärt. Der Liquid-Fall endete glimpflich, doch die 36 Minuten bis zum Abfluss zeigen, wie wenig Zeit im Ernstfall bleibt.