Blockstream ha dichiarato che non pagherà un riscatto per la restituzione di circa 598.5 BTC, del valore di circa 47 milioni di dollari, ancora mancanti dopo l'exploit di Liquid Network. La decisione pone fine a giorni di negoziati con le persone che hanno sottratto i fondi.

Gli aggressori hanno prosciugato circa 4,000 BTC dalla sidechain Liquid domenica, quando gli asset valevano circa 320 milioni di dollari. Lunedì hanno restituito 3,400 BTC, pari a circa l'85% dell'importo sottratto. I restanti 598.5 BTC sono ancora detenuti all'indirizzo sul quale sono stati trasferiti e non sono stati movimentati.

“Taking assets without authorization and withholding their return is a crime, not responsible disclosure,” Blockstream said on Friday. “It is not white-hat activity. It is theft.”

In un post su X, Blockstream si è rivolto ai responsabili del furto:

To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026

https://x.com/Blockstream/status/2098281867908690394?ref_src=twsrc%5Etfw

L'exploit ha sfruttato una falla nel modo in cui i nodi Liquid memorizzavano nella cache le verifiche delle range proof. La vulnerabilità ha permesso agli aggressori di coniare L-BTC non garantiti e scambiarli con Bitcoin di riserva tramite SideSwap, un membro della federazione che deteneva una chiave di autorizzazione per i peg-out. Le riserve di Liquid sono così scese a 197 BTC.

Blockstream ha corretto i nodi bridge entro 10 ore e rilasciato Elements v23.3.4 mercoledì. Liquid ha ripreso a produrre blocchi e a elaborare transazioni giovedì, sebbene i peg-out restino disabilitati come misura precauzionale mentre prosegue “the final stage of recovery”. I peg-out sono il meccanismo che consente di scambiare L-BTC con Bitcoin detenuti nelle riserve di Liquid; mantenerli disabilitati impedisce quindi questa conversione durante le operazioni di recupero. La società ha inoltre avvertito che alcuni truffatori stavano prendendo di mira gli operatori dei nodi con falsi siti per gli aggiornamenti.

Il rapporto sull'incidente pubblicato da Liquid martedì descriveva gli aggressori come un “white hat hacker” e affermava che il progetto si stava coordinando con l'individuo per riavviare la rete. Blockstream ha dichiarato che la propria partecipazione a quelle discussioni “should not be mistaken for acceptance of the actions taken nor of the terms being demanded.”

Le richieste sono state rese pubbliche in una transazione Bitcoin mercoledì. Gli autori dell'exploit sostenevano che Blockstream avesse destinato “only $1.5M (maybe even 0) to secure $5B assets,” descrivendo la situazione come “a flagrant neglect of security.” Hanno chiesto il 10% “using your own money as bug bounty,” oppure hanno avvertito che “you will cause all your holders a 15% loss for your irresponsibility and stinginess.”

Blockstream afferma che non creerà un precedente per i riscatti

Blockstream ha dichiarato che non sarebbe stata “a party to the precedent that open-source software developed for the good of the Bitcoin community should subject its developers to paying a ransom that far exceeds their economic participation.”

La società ha inoltre affermato che non avrebbe coperto il deficit utilizzando i fondi degli utenti. “Bitcoin is hard money and can't be minted without costs,” ha dichiarato. “Bitcoin doesn't haircut users to pay a ransom.”

Se il Bitcoin rimanente non verrà restituito, Blockstream ha dichiarato che perseguirà “every lawful avenue” collaborando con le forze dell'ordine, gli exchange e gli specialisti di analisi forense. “Transactions do not disappear, and neither does the evidence they leave behind,” ha affermato la società, concludendo: “Return the bitcoin.”

Fonte: Decrypt