Quasi 4.000 bitcoin del valore di circa 320 milioni di dollari sono usciti dal wallet federato di Liquid Network di Blockstream il 6 settembre, dopo che un bug software nel codice Elements ha permesso un peg-out anomalo di passare attraverso il processo di autorizzazione standard della sidechain. I fondi restano nelle mani di attori che si autoidentificano come "white hat" e dichiarano di voler restituire i bitcoin — ma solo dopo che ogni nodo interessato sara' stato corretto.
Come si e' sviluppato l'exploit
La sequenza e' iniziata alle circa 14:05 UTC del 6 settembre, quando un cliente ha inviato 4.000 L-BTC a SideSwap, un exchanges decentralizzato costruito su Liquid, per la conversione in bitcoin sulla catena principale. SideSwap ha dichiarato che la richiesta e' passata attraverso il normale processo di autorizzazione, il che ha spinto la federazione di Liquid — un corpo multisig 11 di 15 — ad approvare il peg-out. Ventitre minuti dopo, alle 14:28 UTC, 3.996,01834922 BTC hanno lasciato le riserve multisig della federazione tramite una Peg-out Authorization Key, secondo CryptoBriefing.
La pagina di proof-of-reserves della federazione ha successivamente mostrato una detenzione di circa 197 BTC, in calo da oltre 4.200 BTC prima dell'evento. Si tratta di una diminuzione del 95 percento in una singola transazione. Sia Blockstream che SideSwap hanno attribuito il prelievo a un difetto software in Elements, il codice open-source alla base dell'infrastruttura di Liquid, piuttosto che a credenziali di firma compromesse.
Una negoziazione pubblica sulla blockchain
Quello che e' seguito e' stato insolito anche per gli standard delle criptovalute. Gli attori che controllavano i fondi hanno trasmesso messaggi OP_RETURN — piccoli payload di dati registrati permanentemente sulla blockchain di Bitcoin — indirizzati direttamente a Blockstream. Uno dei messaggi recitava: "we are whitehats. contact us on chain." Alex Thorn, capo della ricerca di Galaxy Digital, ha detto che un indirizzo collegato a Blockstream ha risposto con una richiesta di contattare security@blockstream.com, mentre il detentore ha successivamente fornito un handle Signal per ulteriori comunicazioni.
La negoziazione e' proseguita attraverso molteplici transazioni. Secondo DailyCoin, che ha monitorato i messaggi on-chain, il detentore ha proposto di inviare "la maggior parte" dei bitcoin alla federazione. La risposta di Blockstream, recapitata attraverso un successivo spend OP_RETURN, e' stata che la vulnerabilita' deve prima essere corretta e ogni nodo patchato prima che i fondi possano essere restituiti in sicurezza. "Correggi prima il bug," recitava il messaggio. "Assicurati che ogni nodo sia stato patchato. Poi trasferiremo i fondi in sicurezza dopo aver confermato la correzione."
Al 7 settembre, zero BTC sono stati restituiti.
Cosa il bug rivela sulle sidechain federate
Liquid opera come una sidechain federata di Bitcoin, fondata da Blockstream di Adam Back. Emette una varieta' di asset tra cui L-BTC, che garantisce con BTC detenuti in un grande wallet multisig sulla catena principale di Bitcoin. Il design richiede che 11 dei 15 funzionari designati firmino i peg-out, e un sistema di Peg-out Authorization Key limita i pagamenti a wallet approvati. Il bug di Elements ha apparentemente aggirato entrambi i livelli di protezione, permettendo a L-BTC invalidi di entrare in un flusso di peg-out valido.
L'incidente non sembra aver influenzato gli asset non-BTC sulla rete Liquid. L'account ufficiale di Liquid ha dichiarato su X che gli altri asset emessi, inclusi USDT e titoli tokenizzati, rimangono invariati perche' il difetto era specifico del meccanismo di peg-out BTC.
Gli exchange sono stati istruiti di sospendere depositi e prelievi L-BTC, e Liquid ha disattivato i suoi bridge node, bloccando il collegamento tra la sidechain e la catena principale di Bitcoin. Gli utenti che detengono L-BTC ora affrontano un percorso di riscatto incerto, con le riserve sottostanti di bitcoin esaurite e nessuna tempistica per una correzione.
Paralleli e domande aperte
L'episodio richiama l'incidente del Ronin Bridge del 2024, quando un MEV searcher white hat ha sfruttato una vulnerabilita' e prelevato circa 4.000 ETH e 2 milioni di dollari in USDC. Ronin ha risolto quel caso in circa 80 minuti, restituendo i fondi dopo un bounty di 500.000 dollari. La situazione Liquid e' quasi 27 volte piu' grande e i fondi restano nella custodia del presunto white hat, con una condizione che Blockstream non ha ancora soddisfatto.
Blockstream non aveva rilasciato una dichiarazione pubblica al momento della scrittura, e l'identita' del detentore dei fondi rimane anonima. Il CTO di Ledger aveva precedentemente messo in dubbio se i movimenti assomigliassero davvero a un'operazione white hat, notando che le tattiche divergono dai tipici schemi di disclosure responsabile. La comunita' rimane divisa sul fatto che gli attori siano ricercatori di sicurezza genuini o opportunisti che sfruttano una posizione pubblica per estrarre un fee di scoperta.
Fonti
- CryptoSlate, "A whitehat hacker is holding $320 million in drained Bitcoin until developers prove they patched a fatal network flaw," 7 settembre 2026. https://cryptoslate.com/a-whitehat-hacker-is-holding-320-million-in-drained-bitcoin-until-developers-prove-they-patched-a-fatal-network-flaw/
- Bitcoin Magazine, "Alleged White-Hat Hackers Withdraw 4,000 Bitcoin From Blockstream's Liquid Network Federation Reserves," 6 settembre 2026. https://bitcoinmagazine.com/news/alleged-white-hat-hackers-withdraw-4000-bitcoin-from-blockstreams-liquid-network-federation-reserves
- DailyCoin, "Liquid Network Hack Takes a Twist: Hackers Offer to Return $320 Million," 7 settembre 2026. https://dailycoin.com/liquid-network-hack-320-million-bitcoin/
