Os atores autoproclamados white hats por trás do esvaziamento de quase 4.000 BTC da Liquid Network, da Blockstream, devolveram 3.400 BTC à carteira da federação da sidechain, recuperando cerca de 85 por cento dos fundos retirados. Quase 600 BTC permanecem com os atores, deixando cada token L-BTC apenas parcialmente lastreado em bitcoin na carteira de reserva da federação.
O exploit original ocorreu em 6 de setembro, quando um bug de software na base de código Elements permitiu que um peg-out anormal passasse pelo processo padrão de autorização da sidechain. Nas 24 horas seguintes, os atores e a Blockstream conduziram uma negociação incomum inteiramente por meio de mensagens incorporadas em transações Bitcoin, trocando notas assinadas com PGP e correspondência on-chain. A devolução parcial em 7 de setembro marcou o desenvolvimento mais significativo desde o exploit.
Como o exploit e a negociação se desenrolaram
A sequência começou por volta das 14:05 UTC de 6 de setembro, quando um cliente enviou 4.000 L-BTC à SideSwap, uma exchange descentralizada construída sobre a Liquid, para conversão em bitcoin na cadeia principal. A SideSwap disse que a solicitação passou pelo seu processo normal de autorização, o que levou a federação da Liquid — um corpo multisig de 11 de 15 — a aprovar o peg-out. Vinte e três minutos depois, às 14:28 UTC, 3.996,01834922 BTC deixaram as reservas multisig da federação por meio de uma Peg-out Authorization Key, segundo a CryptoBriefing.
A página de prova de reservas da federação mostrou subsequentemente participações de aproximadamente 197 BTC, abaixo dos mais de 4.200 BTC antes do evento — uma queda de 95 por cento em uma única transação. Tanto a Blockstream quanto a SideSwap atribuíram a retirada a uma falha de software no Elements, a base de código de código aberto que sustenta a infraestrutura da Liquid, e não a credenciais de assinatura comprometidas. O exploit permitiu que L-BTC inválido entrasse em um fluxo de peg-out válido, contornando tanto o multisig quanto o sistema da Peg-out Authorization Key.
O que se seguiu foi incomum até para os padrões do setor cripto. Os atores transmitiram mensagens OP_RETURN — pequenos pacotes de dados permanentemente registrados na blockchain do Bitcoin — dirigindo-se diretamente à Blockstream. Uma mensagem dizia: "we are whitehats. contact us on chain." A Blockstream respondeu com um pedido para contatar security@blockstream.com, e os dois lados subsequentemente trocaram mensagens assinadas com PGP por meio de transações Bitcoin. Os atores disseram que devolveriam a "maior parte" do bitcoin assim que o bug fosse corrigido. A Blockstream respondeu: "Please fix the bug first. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix."
A devolução parcial e a recompensa ausente
Em 7 de setembro, às 16:09 UTC, os atores enviaram 3.400 BTC à carteira de peg da federação em uma única transação (bloco 965.950 do Bitcoin), mantendo 598,5 BTC — cerca de -15 por cento da retirada original — em um endereço separado. A Blockstream havia enviado anteriormente uma mensagem assinada on-chain afirmando: "Bridge nodes are patched, safe to return the funds."
Nem a Blockstream nem os atores declararam publicamente que os 598,5 BTC retidos constituem uma recompensa aprovada. O diretor de tecnologia da Ledger, Charles Guillemet, caracterizou a dinâmica de forma crítica: "So, 3,400 BTC were refunded. The 'white hats' still hold 600 BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking!" O CertiK Alert observou que o valor retido "could potentially be a bounty reward", embora nenhum acordo formal tenha sido divulgado.
A devolução deixa cada L-BTC em circulação lastreado por aproximadamente 86 centavos em bitcoin em vez de um dólar, com base em cerca de 3.600 BTC restantes na carteira de peg da federação contra aproximadamente 4.200 L-BTC honestos em circulação. Preencher essa lacuna — o déficit de 598,5 BTC mais a taxa da SideSwap e as transações de teste — exige ou uma devolução adicional dos atores ou uma injeção de capital dos membros da federação.
O que permanece sem solução
A Blockstream não divulgou um post-mortem técnico explicando exatamente como o bug foi descoberto, o que a correção implica ou se a versão corrigida impede exploração semelhante no futuro. O desenvolvedor de Bitcoin Adam Simecka, fundador da MannaBitcoin, argumentou que a Blockstream vinha corrigindo uma vulnerabilidade mais antiga do Elements em fases e divulgou onde ela estava antes que cada nó aplicasse a correção, levantando questões sobre se a divulgação pública atraiu o exploit.
Os nós de ponte da Liquid permanecem desativados sem prazo anunciado para reinício. As exchanges continuam suspendendo depósitos e saques de L-BTC, e a federação não divulgou como planeja restaurar o lastro total. O USDT da Tether na Liquid e outros ativos emitidos não foram afetados, pois a falha era específica do mecanismo de peg-out de BTC.
O incidente ecoa o caso da Ronin Bridge em 2024, quando um searcher MEV white-hat explorou uma vulnerabilidade e retirou aproximadamente 4.000 ETH e $2 milhões em USDC. A Ronin resolveu aquele caso em cerca de 80 minutos com uma recompensa de $500.000. O episódio da Liquid é quase 27 vezes maior e levou dias, em vez de horas, para chegar à sua atual resolução parcial.
Fontes
- Decrypt, "Liquid Hackers Return $270M in Bitcoin After Swiping $320 Million," September 7, 2026. decrypt.co
- Bitquery, "Liquid Network Hack Explained: Blockstream Sidechain Loses 4,000 BTC," September 8, 2026. bitquery.io
- The Bitcoin Manual, "3,400 BTC Returned To The Liquid Network," September 7, 2026. thebitcoinmanual.com
- Decrypt, "Purported White-Hat Hackers Withdraw $320M in Bitcoin From Liquid," September 6, 2026. decrypt.co
- ETHNews, "Liquid Network Exploit Drains $320M, Blockstream Halts Sidechain," September 6, 2026. ethnews.com
