Blockstream ha rifiutato pubblicamente di pagare un riscatto per la restituzione dei bitcoin rubati in un exploit che coinvolge la Liquid Network, la sidechain bitcoin federata gestita da Blockstream, affermando che il trasferimento non autorizzato di asset e la ritenzione dei fondi costituiscono atti criminali e non una divulgazione responsabile. La dichiarazione lascia irrisolti il saldo esatto ancora in gioco, lo stato della copertura delle riserve e il pieno recupero del sistema Liquid.

Blockstream respinge la richiesta di riscatto

In una dichiarazione ufficiale datata 11 settembre 2026, Blockstream si è rivolta alle parti responsabili del furto e ha affermato che non pagherà alcun riscatto per la restituzione dei fondi rubati. La società ha qualificato l'incidente come un crimine e non come attività white-hat. La dichiarazione è stata pubblicata da @Blockstream su X.

A coloro responsabili del furto di bitcoin dalla Liquid Network: Blockstream non pagherà alcun riscatto per la restituzione dei fondi rubati. Appropriarsi di asset senza autorizzazione e trattenere la loro restituzione è un crimine, non una divulgazione responsabile. Non è attività white-hat. Lo è… — Blockstream (@Blockstream) 11 settembre 2026

La parte autenticata del post conferma Blockstream come autore della dichiarazione, il suo rifiuto di pagare e il fatto che i fondi fossero bitcoin prelevati da Liquid. Il testo visibile è troncato, quindi eventuali condizioni, minacce di recupero o altri dettagli che potrebbero seguire la parte citata non possono essere verificati in modo indipendente dal post stesso.

Il rifiuto sposta laa lontano da una possibile negoziazione white-hat e verso una questione di applicazione della legge. In pratica, ogni ulteriore restituzione dei fondi ancora in gioco dipende ora dall'attaccante o dal lavoro di recupero già in corso, non da un pagamento negoziato. I dettagli della richiesta si basano ancora su segnalazioni a fonte singola e devono essere trattati come affermazioni dei presunti attaccanti e non come contabilità verificate.

Secondo segnalazioni non confermate di The Block, un messaggio OP_RETURN di mercoledì — un opcode che consente di incorporare piccoli messaggi di dati direttamente nelle transazioni bitcoin — richiedeva un bug bounty del 10% e minacciava una perdita del 15% per i possessori. Il messaggio avrebbe presentato i bitcoin ancora in gioco come leva, anziché come fondi collegati a una vulnerabilità divulgata. I circa 600 BTC citati nel titolo si riferiscono ai fondi rimanenti e non all'entità del presunto bug bounty.

Il saldo residuo rimane irrisolto

La cifra di 600 BTC è un riferimento arrotondato a un saldo più preciso ma non riconciliato. The Block ha riferito che circa 3.400 BTC erano già stati restituiti dall'attaccante, lasciando 598,5 BTC ancora irrisolti all'11 settembre. Tale cifra non è stata confermata in modo indipendente tramite analisi on-chain.

La proprietà, la posizione on-chain e la recuperabilità dei fondi rimanenti non sono state accertate da prove di prima parte. Qui non viene avanzata alcuna valutazione al momento del trasferimento. Solo come contesto, bitcoin veniva scambiato vicino a 76.863 $ al momento della ricerca, in calo di circa l'1,4% nella giornata; non è stata stabilita alcuna connessione causale tra quel movimento di prezzo e l'incidente su Liquid.

Portata dell'incidente su Liquid

Il primo avviso di incidente di Blockstream stimava che circa 4.000 BTC, per un valore di circa 320 milioni di $, fossero stati prelevati dal wallet della Liquid Federation. La cifra era una stima dell'incidente, non un totale verificato. L'avviso attribuiva i prelievi alla SideSwap Peg-out Authorization Key, affermando al tempo stesso che questa chiave e le altre chiavi non erano state compromesse. L'avviso di incidente è disponibile sulla pagina di stato di Blockstream.

Il solo uso del termine "exploit" non dimostra che il sistema di consenso di Liquid, un bridge o una chiave di contract siano guastati. La Liquid Network aveva precedentemente sospeso le operazioni a seguito del prelievo segnalato, mentre l'attribuzione degli autori del drenaggio rimaneva in fase di analisi.

Al 10 settembre, ore 10:00 UTC, Blockstream ha dichiarato che la produzione di blocchi era ripresa senza transazioni e che gli aggiornamenti erano stati distribuiti ai nodi functionary e bridge. I peg-out, tuttavia, sono rimasti sospesi mentre proseguiva il recupero delle riserve. Su Liquid, i peg-out sono l'operazione firmata dai functionary che trasferisce gli asset dalla sidechain al livello base bitcoin, quindi la loro sospensione leaves chiuso il percorso di uscita standard anche con la produzione di blocchi in corso. La ripresa della produzione di blocchi non ha quindi rappresentato il ripristino della funzionalità del bridge né una conferma della copertura delle riserve.

Avvisi di sicurezza e prove ancora necessarie

In un avviso anti-phishing del 9 settembre, Blockstream ha segnalato che degli impostori stavano sfruttando l'incidente per diffondere falsi messaggi di rimborso, re-peg e aggiornamento obbligatorio. La società ha precisato che gli utenti non dovevano spostare fondi, divulgare una recovery phrase o installare software ricevuti via email per partecipare al recupero. L'avviso è una distinta e verificabile misura di protezione degli utenti e non risolve la disputa sul riscatto.

Sarebbero necessarie diverse prove per stabilire lo stato finale dell'incidente: una dichiarazione di Blockstream attribuibile e non troncata; un rapporto tecnico completo sull'incidente; e transazioni a livello di explorer corroborate che confermino sia il saldo residuo sia eventuali fondi restituiti. Un trasferimento confermato di fondi deve inoltre essere distinto da una promessa o richiesta riguardo alla loro restituzione. Il ripristino dei peg-out, anziché la ripresa della produzione di blocchi, sarebbe l'indicatore operativo del corretto funzionamento del bridge.

Le prove disponibili non stabiliscono la portata finale dell'incidente né le prospettive di recupero. Ciò che è confermato è il rifiuto di Blockstream di pagare il riscatto, la sospensione protratta dei peg-out e un saldo in bitcoin ancora in gioco che nessuna parte indipendente ha finora riconciliato.