Liquid Network Drain $320 Juta, Klaim Whitehat Diragukan

Poin Utama

Sekitar 3.998,5 BTC senilai kurang lebih $320 juta keluar dari wallet cadangan federasi Liquid Network dalam satu transaksi pada 6 September.
Dana tersebut berpindah lewat Peg-out Authorization Key (PAK) milik SideSwap, meski Liquid menegaskan kunci itu dan seluruh kunci lainnya tidak diretas.
Sebuah pesan on-chain bertuliskan “we are whitehats. contact us on chain” menyertai transfer tersebut, tapi CTO Ledger Charles Guillemet menilai whitehat sungguhan tidak akan bertindak seperti ini.
Sejumlah exchange menghentikan sementara deposit dan penarikan LBTC, dan Liquid menyebut sidechain-nya praktis lumpuh sampai mekanisme di balik insiden ini dipahami.
Penarikan ini masuk jajaran tiga insiden terkait bridge terbesar dalam sejarah kripto, sebanding dengan peretasan Wormhole pada 2022.

Penarikan $320 Juta Tanpa Penjelasan Jelas

Pada 6 September 2026, sekitar 3.998,5 BTC — bernilai hampir $320 juta — mengalir keluar dari wallet cadangan federasi Liquid Network dalam satu transaksi, menyisakan hanya 207,275 BTC dari saldo sebelumnya yang mendekati 4.200 BTC. Dana ini berpindah lewat Peg-out Authorization Key (PAK) milik SideSwap, salah satu kredensial yang dipakai federasi Liquid untuk melepas bitcoin di mainchain begitu LBTC dibakar di sidechain. Liquid mengonfirmasi penarikan tersebut, namun menegaskan bahwa kunci SideSwap itu sendiri, bersama seluruh kunci federasi lainnya, tidak diretas — pernyataan yang justru menyisakan pertanyaan besar soal bagaimana penarikan ini bisa terjadi. Sebuah pesan on-chain yang menyertai transaksi susulan berbunyi “we are whitehats. contact us on chain”, tapi klaim ini belum banyak membantu menjawab siapa yang memindahkan dana tersebut dan untuk apa.

Bagaimana Mekanisme Peg-Out Liquid Seharusnya Bekerja

Proses peg-out Liquid dirancang lewat tiga lapis pemeriksaan berurutan: LBTC harus dimusnahkan di sidechain, multisignature federasi dengan skema 11-dari-15 harus menyetujui pelepasan dana, dan alamat penarik harus sudah masuk dalam whitelist PAK. Ketiganya ada supaya penarikan nakal nyaris mustahil terjadi tanpa kolusi beberapa anggota federasi atau penyalahgunaan kunci yang sudah di-whitelist — inilah sebabnya pernyataan Liquid bahwa tidak ada kunci yang diretas justru memicu kecurigaan, bukan rasa lega. The Block melaporkan bahwa Blockstream, operator Liquid, tengah berupaya menghubungi pihak yang bertanggung jawab lewat pesan on-chain bertanda tangan, dan sidechain ini akan tetap “praktis dihentikan” sampai masalahnya terselesaikan. Aset lain yang tersimpan di Liquid — termasuk USDT milik Tether, stablecoin asal Brasil DePix, dan berbagai aset dunia nyata yang ditokenisasi — tidak terdampak, karena saldo-saldo itu berada di luar cadangan federasi BTC.

Dengan nilai sekitar $320 juta, penarikan ini sejajar dengan eksploitasi Wormhole pada Februari 2022 ($321 juta) dan hanya kalah besar dari peretasan Ronin Bridge yang memecahkan rekor ($625 juta), menjadikannya salah satu dari tiga insiden terkait bridge terbesar yang pernah tercatat dalam sejarah kripto — hasil yang cukup mengejutkan untuk sidechain Bitcoin berbasis federasi yang sudah beroperasi sejak 2018 tanpa insiden sebesar ini.

Mengapa Model Kepercayaan Bridge Berbasis Federasi Ini Penting

Insiden ini membuka kembali perdebatan lama yang belum pernah benar-benar tuntas di kalangan sidechain dan bridge Bitcoin: pemegang LBTC sejatinya tidak pernah punya klaim langsung atas bitcoin itu sendiri, melainkan hanya kewajiban dari federasi Liquid yang beranggotakan lima belas exchange dan perusahaan infrastruktur. Ketika mekanisme kontrol konsorsium ini menghasilkan arus keluar $320 juta yang tidak bisa langsung dijelaskan, eksposur ini terlihat bukan sekadar bug teknis, melainkan lebih mirip kegagalan kepercayaan di lapisan kustodian yang membungkus aset yang sebenarnya immutable. Beberapa exchange bereaksi cepat dalam hitungan jam dengan menangguhkan deposit dan penarikan LBTC, langkah pengamanan standar yang sekaligus menunjukkan betapa cepatnya likuiditas aset wrapped bisa membeku begitu jaminan di baliknya dipertanyakan. Bagi Bitcoin DeFi secara lebih luas — kategori yang terus tumbuh seiring Lightning, Liquid, dan sidechain-sidechain baru bersaing menghadirkan programabilitas ke BTC tanpa menyentuh base layer — episode ini jadi pengingat bahwa fitur kemudahan seperti whitelist PAK menambah permukaan serangan yang tidak dimiliki kustodi biasa. Insiden ini juga mempersulit narasi “whitehat” yang kerap dipakai sejumlah insiden kripto untuk memperhalus dampak sebuah peretasan: keberatan Guillemet, bahwa whitehat sungguhan tidak akan diam-diam memindahkan seluruh cadangan lalu meminta kontak alih-alih mengembalikan dana terlebih dahulu, menggemakan pola yang juga terlihat di sejumlah insiden 2026 lainnya, di mana penerbit token juga sama-sama mengklaim tidak ada kunci yang diretas meski ada perpindahan dana besar yang tak terjelaskan — termasuk pada kasus BounceBit dan MANTRA.

Apa yang Terjadi Selanjutnya

Blockstream belum merilis laporan post-mortem teknis yang menjelaskan bagaimana sebuah peg-out bisa lolos dari whitelist PAK dan multisig 11-dari-15 tanpa ada kunci yang terkonfirmasi diretas, dan selama itu belum terjadi, LBTC kemungkinan akan tetap dibatasi di exchange-exchange yang menghentikan layanannya. Penanda konkret berikutnya yang perlu diperhatikan adalah apakah pihak di balik pesan “whitehat” itu benar-benar membuka jalur komunikasi on-chain seperti diminta Blockstream, atau justru 3.998,5 BTC tersebut kembali berpindah — transfer yang akan langsung terlihat di block explorer Liquid dan sekaligus menjawab tuntas soal status whitehat ini. Laporan insiden resmi, berikut keputusan soal ganti rugi bagi pihak yang terdampak, akan jadi titik di mana exchange-exchange bisa mulai mempertimbangkan membuka kembali deposit dan penarikan LBTC.

FAQ

Apa itu Peg-out Authorization Key (PAK) milik Liquid Network?
PAK adalah mekanisme whitelist yang dipakai Liquid untuk mengontrol alamat mana saja yang boleh menerima bitcoin saat LBTC ditukar kembali; pada 6 September, sekitar 3.998,5 BTC berpindah lewat PAK milik SideSwap meski Liquid menegaskan kunci itu sendiri tidak diretas.

Berapa banyak BTC yang ditarik dari Liquid Network?
Sekitar 3.998,5 BTC senilai hampir $320 juta keluar dari cadangan federasi, membuat saldo yang tersisa turun jadi 207,275 BTC dari saldo sebelumnya yang mendekati 4.200 BTC.

Apakah LBTC masih aman untuk dipegang?
Beberapa exchange sudah menghentikan sementara deposit dan penarikan LBTC, dan Liquid praktis melumpuhkan sidechain-nya, sehingga likuiditas LBTC terbatas sampai Blockstream menjelaskan bagaimana penarikan ini bisa terjadi.

Apakah insiden ini sebanding dengan peretasan bridge besar lainnya?
Dengan nilai sekitar $320 juta, penarikan ini mendekati besaran peretasan Wormhole pada 2022 ($321 juta) dan masuk jajaran tiga insiden terkait bridge terbesar yang pernah tercatat dalam sejarah kripto.