Liquid Network、3.2億ドル規模の不正流出受け運用再開　商用取引は停止継続

【要旨】Liquid Networkは2026年9月10日、4日間の技術的停止を経てブロック生成を再開した。Elementsソフトウェアの脆弱性により、担保なしで約4,000 LBTCが不正にミントされ、2026年9月6日に3,996 BTCが引き出された。運用準備金は4,205 BTCから197 BTCまで急減したが、翌9月7日に3,400 BTCが返還された。被害総額は約3.2億ドルとされる。 Liquid Networkの運営連合（フェデレーション）は9月10日、セキュリティ事案後の復旧フェーズとして、管理下でのブロック生成を再開した。現時点ではエンドユーザー向けの商用取引は再開しておらず、預入・引出（peg in/peg out）も予防措置として停止が続く。 再起動はUTC 12:26に実施。フェデレーションノードのアップグレード完了後、バリデータが空ブロックへの署名を開始し、システムの安定性を監視している。市場関係者によれば、ビットコイン準備金の完全な補填が進むまで、交換・変換機能は凍結される見通しだ。 侵害が確認されたのは2026年9月6日、ネットワークのブロック高4,050,336。オープンソースのElementsコードベースの欠陥を突かれ、攻撃者は担保の入金なしにLiquid Bitcoin（LBTC）約4,000単位を不正発行した。合成された資金は、pegout authorization key（PAK）を介してSideSwapの交換サービスに回され、事前検証レイヤーでの不具合によりフェデレーションノードは当該取引を有効として扱った。 この結果、フェデレーションのマルチシグウォレット残高は短時間で4,205 BTCから197 BTCへ急減した。技術報告では、15のフェデレーションメンバーが保有する秘密鍵の流出は確認されていない。強制停止中も、Tether（USDT）などネットワーク上で発行される他資産や各種RWAトークンは影響を受けなかったとされる。 SideSwapは2026年9月9日、詳細な事後検証（ポストモーテム）を公表し、運用面の不備を認めた。PAKキーをインターネット接続状態で保持していたことに加え、取引速度（velocity）チェックの自動化や、ウォレット単位の取引量上限（閾値）が未整備だったという。 準備金回復と技術的復旧について、攻撃者は2026年9月7日、オンチェーンメッセージで自らをセキュリティ研究者と名乗り、ネットワークのマルチシグアドレスへ3,400 BTCを返還した。未回収分は598.5 BTCで、概算で約4,700万ドル相当。攻撃者は残額返還の条件として10%の報奨金支払いを要求しているが、Blockstream側はこれを正式なバグバウンティ・プログラムとして承認したものとは位置付けていない。 フェデレーションは9月9日、緊急パッチElements v23.3.4を展開。Bitcoin Red TeamおよびAlpen Labsを含む専門セキュリティ企業との共同監査を踏まえ、range proofにおけるキャッシュキー管理の問題を修正した。BlockstreamのCEOであるAdam Back氏は、LBTCとBTCの1:1ペッグは最終的に全額カバーされると公言している。アナリストは、機関側の裏付けが店頭（OTC）市場での投げ売りリスクの抑制につながる可能性を指摘する。 復旧ロードマップは3段階。第1段階は管理下でのブロック生成、第2段階は正当と確認された取引の再実行、第3段階は準備金が完全に確保された後のpeg機能再開とされる。フェデレーションは次の正式手順として、流動性ブリッジの全面再開に先立ち、ストレステストの完了とあわせて本件の包括的な技術監査報告を公表する方針だ。