Две недели после Liquid: деньги не сдвинулись, а у канала связи новые хозяева

Последний раз кошелёк что-либо тратил 9 сентября в 11:45 UTC. Одиннадцать дней спустя ничего не ушло ни в миксер, ни на биржу, ни обратно федерации. Получать он продолжает — пыль и реклама приходят ежедневно, последняя сегодня, — но 598,5 BTC лежат ровно там, где их оставили.

Чего мы не утверждаем. В нескольких публикациях приводится цифра обеспечения каждого L-BTC биткоином. Свести обращающееся предложение L-BTC по публичному эксплореру к числу, которое мы готовы защищать, не удалось: эксплойт выпустил L-BTC, за которым не было peg-in, и это ломает очевидную арифметику. Поэтому мы публикуем проверенный нами резерв, а соотношение оставляем тем, кто сможет показать расчёт.

Liquid подписывает блок каждые 60 секунд. Так и было без перерывов до блока 4 050 335, а потом сеть встала.

В одном из наблюдений того времени последний блок отнесён к 04:49 7 сентября; цепочка относит его на восемнадцать часов раньше. Вывод в любом случае один, и именно его до сих пор нет в публикациях: Liquid нормально выпускает блоки с 9 сентября, и все, кто до сих пор описывает сеть как остановленную, отстали на одиннадцать дней.

Кошелька держателя касаются 1 450 подтверждённых транзакций; 1 439 из них несут OP_RETURN. Мы расшифровали и классифицировали каждую.

Переписка, которую читала вся индустрия, составляет 1,6 процента трафика на адресе, где она происходила, — и 23 это ещё щедро к переговорам, потому что сюда попадает всё оформленное как PGP-блок. Проверить подписи без ключа Blockstream мы не можем, а как минимум одна реклама мемкоина была обёрнута в -----BEGIN PGP MESSAGE-----, чтобы с первого взгляда читаться как одно из них. Запись остальных 1 427 транзакций стоила 0,015376 BTC комиссий.

1 116 транзакций пришли за двое суток — после того, как обе стороны замолчали. К инциденту они не имели отношения:

а за ними 1 114 одинаковых минтов. Самый наблюдаемый кошелёк месяца дважды использовали как маяк для запуска токена, причём оператор не изменил между заходами ни одного параметра.

Четырнадцать сообщений рекламируют способы отмыть деньги — человеку с примерно 48 миллионами долларов и аудитории, читающей через плечо. В одном есть реферальный код.

Конкурент в том же канале назвал остальных мошенниками: «Wagyu, TORSwap and exch.lat are all liars & scams. AVOID!» Рекламировался и каталог «проверенных миксеров». Это рынок, работающий в открытую, в вечном публичном логе, и ничто из этого ни за чем не прячется.

7 сентября в 09:41 UTC на кошелёк пришло неподписанное сообщение:

Отправлено с адреса выше. В 14:05 тот же кошелёк попробовал снова, назвав адрес «чистого маршрута». Все настоящие сообщения Blockstream в этой переписке подписаны PGP и указывают в качестве получателя peg-кошелёк федерации; эти подписи не имеют и подставляют собственный адрес отправителя.

Сравнить можно самому. Blockstream писал с bc1qn8mgsmxx42j3fflqfkh0cqhdd6mj4h9q2mfqym, начав с «Please contact [email protected]», и подписал оба содержательных сообщения — «Yes, thank you.» и «Bridge nodes are patched, safe to return the funds.» — одним ключом с отпечатком 1176 542D A98E 71E1 3372 2EF7 4AC8 CC88 6844 A2D6. Сообщение в этой ветке без подписи, либо подписанное другим ключом, либо указывающее адрес возврата, отличный от peg-кошелька, отправлено не Blockstream.

9 сентября четырнадцать адресов разослали «Double your Bitcoins | 2x whitehats.live» и «whitehats.live/ I’m going to donate all the bitcoins, visit» — на кошелёк держателя и на peg-кошелёк федерации. Запись на peg-кошелёк и выдаёт замысел: целятся в тех, кто следит за инцидентом, а не в его участников. Двумя днями раньше вторая кампания продвигала elonmuskevent.live со своим адресом сбора.

Мы проверили все пятнадцать адресов сбора. Ни один не получил ни одного сатоши от кого-либо из публики. Кампании стоили операторам 0,000034 BTC комиссий и не принесли ничего. Это стоит сказать прямо, а не намекать на пострадавших, которых нет.

Все шестнадцать адресов теперь помечены в риск-графе PublicAML — payout-scam для кампаний удвоения и fake-support для подделки под поддержку, — чтобы метка стояла раньше, чем им кто-нибудь заплатит.

В кошелёк продвигали три токена: $WHITEHATS на BNB Chain по адресу 0x3e77a4BD954faDA9b88936b5AaA6c0519433704B и два разных минта на pump.fun. Мы запросили DexScreener по контракту на BNB и по одному из минтов pump.fun — ни по одному нет ни единой проиндексированной торговой пары. Мы не называем их рагами: отсутствие ликвидности не равно отнятым у кого-то деньгам. Мы фиксируем, что реклама настоящая, а рынка нет.

Под шумом — те, кому остановка стоила реально. 9 сентября в 17:49 UTC, и через двадцать пять минут ещё раз, короче: «Send my BTC back! 2.4 BTC right here! … This is my life savings!» Он писал не той стороне — держатель не может вернуть чужие L-BTC. В этом и суть: писать ему было больше некуда.

Второе — попытка выторговать себе выход: владелец настоящих L-BTC предлагает обмен один к одному тому, из-за кого сеть встала, потому что это был единственный контрагент, у которого биткоины видимо оставались. Такова цена остановленного сайдчейна, написанная тем, кто её платит.

Сам эксплойт другие разобрали хорошо. Не сказано другое: во что превращается открытый канал переговоров, когда на него смотрит весь мир. За шесть дней после сообщений, которые имели значение, тот же адрес нёс запуск токена, три мемкоина, две схемы удвоения, очередь сервисов отмывания с реферальными кодами, попытку увести 3 900 BTC и анонимную кампанию обвинений — пока сами средства лежали нетронутыми, а те, кто действительно потерял доступ к своим деньгам, кричали в то же поле.

Каждый названный здесь адрес есть в цепочке и проверяем. Каждая цифра снята с цепочек Bitcoin и Liquid 20 сентября 2026 года и сверена с балансами адресов.