Gli hacker di Liquid restituiscono 3.400 BTC e trattengono 47 milioni di dollari mentre la rete rimane bloccata

La restituzione segna una svolta significativa in un incidente iniziato domenica 6 settembre, quando circa 4.000 BTC, allora del valore di circa 320 milioni di dollari, sono usciti dal portafoglio della Liquid Federation che garantiva gli L-BTC. Ciò rappresentava circa il 95% della riserva, lasciando solo circa 197 BTC.

3.400 BTC sono stati restituiti, ma 598,5 BTC rimangono bloccati

Dopo che Blockstream ha comunicato agli attori che i propri nodi bridge erano stati corretti e che i fondi potevano essere “restituiti in tutta sicurezza”, questi hanno trasmesso una transazione inviando 3.400 BTC all’indirizzo della federazione. L’indirizzo degli autori dell’attacco ha trattenuto 598,49955894 BTC e nulla nei messaggi on-chain indicava che quel residuo di circa il 15% fosse una ricompensa concordata.

È interessante notare che non si è trattato del classico caso di hacker che rubano chiavi private e svuotano un portafoglio. Liquid ha affermato che nessuna chiave della federazione è stata compromessa, mentre Sideswap ha dichiarato che i propri sistemi non hanno subito violazioni. Il problema, invece, è riconducibile a Elements, il fork di Bitcoin Core utilizzato dai nodi Liquid.

Un bug di Elements ha aperto la porta all’L-BTC non garantito

Ricostruzioni tecniche indipendenti indicano un bug nella cache di verifica range-proof che apparentemente ha permesso agli autori dell’attacco di creare L-BTC senza il bitcoin normalmente necessario a garantirne la copertura. In parole povere, il sistema ha accettato token simili a bitcoin che non avrebbero mai dovuto esistere, e tali token sono stati successivamente scambiati con bitcoin reali provenienti dalle riserve di Liquid.

Gli autori dell’attacco hanno prima effettuato una prova con 2,5 BTC prima che circa 4.000 L-BTC raggiungessero il servizio di peg-out di Sideswap alle 14:05 UTC. Sideswap ha elaborato la richiesta normalmente, bruciando gli L-BTC e richiedendo il pagamento, e la federazione di Liquid ha inviato 3.996 BTC alla destinazione alle 14:28 UTC.

La distinzione è di fondamentale importanza. I firmatari della federazione di Liquid si sono comportati come previsto quando è stata presentata una richiesta di prelievo valida. Il guasto si è verificato in precedenza, quando gli L-BTC non coperti sono entrati nel sistema, il che significa che l’incidente ha riguardato l’emissione piuttosto che chiavi di custodia compromesse.

Blockstream e gli autori dell’attacco negoziano su Bitcoin

Ciò che ne è seguito è stato tutt’altro che una normale segnalazione di sicurezza. Gli autori hanno comunicato pubblicamente tramite messaggi OP_RETURN di Bitcoin, dichiarando inizialmente: «Siamo white hat. Contattateci sulla blockchain». Blockstream ha infine risposto con messaggi firmati con PGP, e gli autori hanno affermato che avrebbero restituito i fondi dopo l’applicazione della patch alla rete.

Parallelamente, la definizione di «white hat» rimane contestata. Il CTO di Ledger, Charles Guillemet, ha messo in discussione l’approccio del «prima prendi e poi negozia», sebbene in seguito abbia riconosciuto che gli autori potrebbero essere ricercatori inesperti. La stessa Liquid li ha cautamente definiti «presunti hacker white hat».

Liquid rimane congelata mentre gli operatori affrontano la prossima prova

La restituzione dei 3.400 BTC allevia notevolmente la pressione sul problema delle riserve, ma Liquid non è ancora fuori pericolo. La rete rimane in pausa, i nodi bridge sono disabilitati e i depositi e prelievi di L-BTC sugli exchange centralizzati restano sospesi. Gli altri asset emessi da Liquid, tra cui USDT, Depix e gli asset del mondo reale (RWA), non sono stati toccati.

D’altra parte, la rete principale di Bitcoin non è stata interessata dal problema, e i portafogli Liquid come Aqua subiscono interruzioni solo per quanto riguarda la loro funzionalità Liquid. Circa 598,5 BTC rimangono sotto il controllo degli autori dell’attacco, senza che sia stato pubblicato alcun accordo che spieghi se tali fondi verranno alla fine restituiti.

Un riavvio potrebbe essere all’orizzonte una volta che gli operatori saranno in grado di dimostrare che l’L-BTC legittimo è nuovamente garantito 1:1, distribuiranno una versione corretta di Elements sulla rete e decideranno che è sicuro riaprire il bridge. Fino a quando questi passaggi non saranno completati, la situazione di una delle più grandi crisi tecniche di Liquid è tutt’altro che risolta.