Punti chiave in sintesi

• Il CTO di Ledger, Charles Guillemet, ha contestato la rivendicazione di “whitehat” avanzata dagli autori di un peg-out di 3.996 BTC dalla Liquid Network, valutato a circa 318,4 milioni di dollari.
• Liquid afferma che il peg-out è stato eseguito tramite la Peg-out Authorization Key (PAK) di SideSwap, mentre la chiave stessa e le altre chiavi di autorizzazione non sono state compromesse.
• Il trasferimento ha rappresentato circa il 95% delle riserve Bitcoin di Liquid, aumentando l’attenzione sui controlli della rete.
• Liquid ha sospeso l’attività del bridge, mentre la maggior parte dei BTC ritirati è rimasta concentrata e il backing di LBTC è rimasto pienamente allineato.

Liquid Network, una sidechain Bitcoin sviluppata da Blockstream e utilizzata per regolamenti più rapidi e l’emissione di asset, sta indagando su un insolito peg-out che ha coinvolto circa 4.000 BTC dopo che gli autori del prelievo si sono definiti “whitehats”. Il CTO di Ledger, Charles Guillemet, ha contestato pubblicamente tale descrizione, sostenendo che i ricercatori di sicurezza legittimi in genere divulgano le vulnerabilità prima di spostare un collaterale di dimensioni rilevanti.

Ledger CTO: 4,000 BTC Pegged Out of Liquid Bridge, "Whitehat" Claim Raises Doubts

Ledger CTO Charles Guillemet said about 4,000 BTC were pegged out of the Liquid bridge, with an OP_RETURN message stating, "we are whitehats. contact us on chain." He argued that white hats do not… pic.twitter.com/o0CHl4gyM4

— Wu Blockchain (@WuBlockchain) September 6, 2026

X post

La transazione del 6 settembre ha spostato circa 3.996 BTC dalle riserve controllate dalla federazione mentre Bitcoin scambiava vicino a 79.675 dollari, per un valore del trasferimento di circa 318,4 milioni di dollari. Una successiva transazione conteneva un messaggio OP_RETURN che affermava: “we are whitehats. contact us on chain.”

Ledger CTO mette in dubbio la rivendicazione di whitehat dopo il peg-out da 318 milioni di dollari di Liquid

Guillemet ha sostenuto che ritirare centinaia di milioni di dollari prima di aprire una comunicazione differisce nettamente dalle pratiche convenzionali di divulgazione delle vulnerabilità. I suoi commenti hanno spostato l’attenzione dal trasferimento in sé alla condotta degli attori che ora controllano i fondi.

Il CTO di Ledger ha paragonato la situazione a importanti exploit di bridge e protocolli in cui gli attaccanti hanno successivamente comunicato con i progetti colpiti, citando l’attacco al bridge Ronin del 2022 e l’exploit di Euler Finance del 2023. Ronin ha perso oltre 600 milioni di dollari dopo che chiavi di validazione rubate hanno consentito prelievi non autorizzati. Euler Finance ha poi recuperato gli asset dopo negoziazioni, in seguito a un exploit che inizialmente aveva prosciugato circa 197 milioni di dollari.

Tuttavia, questi confronti storici non dimostrano un intento malevolo nell’incidente della Liquid Network. I circa 4.000 BTC non sono stati segnalati come rapidamente dispersi o riciclati; al contrario, la maggior parte dei fondi è rimasta concentrata dopo il peg-out. Gli autori hanno inoltre richiesto esplicitamente un contatto tramite la blockchain di Bitcoin.

Successivamente Blockstream ha risposto con un messaggio on-chain chiedendo alla parte che controlla i fondi di contattare il proprio team di sicurezza. Finora non sono stati riportati né un accordo confermato né la restituzione degli asset. La questione centrale resta quindi se la descrizione di whitehat degli autori corrisponda alle loro azioni. Tale affermazione non è stata verificata in modo indipendente.

Liquid indaga su come 3.996 BTC abbiano superato i controlli di sicurezza del peg-out

Liquid Network ha poi confermato un incidente di sicurezza, affermando che il prelievo è passato attraverso la Peg-out Authorization Key, nota come PAK, di SideSwap. Tuttavia, la rete ha dichiarato che la chiave di SideSwap in sé non è stata compromessa.

Liquid Network confirmed a security incident, saying the funds were withdrawn via SideSwap's Peg-out Authorization Key (PAK), while the key itself and other keys were not compromised. Exchanges have been notified and have paused or will pause LBTC deposits and withdrawals. Other…

— Wu Blockchain (@WuBlockchain) September 6, 2026

X post

Anche le altre chiavi di autorizzazione sono state segnalate come non compromesse. Questo dato ha intensificato il controllo su come la transazione abbia soddisfatto i normali requisiti di prelievo di Liquid.

Liquid utilizza un modello di sicurezza federato: quindici functionaries gestiscono la rete, mentre un quorum 11 su 15 controlla il peg di Bitcoin. Normalmente, LBTC deve essere distrutto prima che i BTC corrispondenti possano lasciare le riserve controllate dalla federazione, e le restrizioni PAK aggiungono un ulteriore livello limitando i peg-out ad indirizzi Bitcoin autorizzati. A differenza delle transazioni Bitcoin con minimizzazione della fiducia, questo design federato concentra il potere di autorizzazione in un insieme definito di operatori, ed è su questo che si concentra l’indagine in corso.

L’analisi on-chain ha indicato che il corrispondente LBTC è stato bruciato durante il prelievo, il che significa che l’offerta residua di LBTC continua a mantenere il relativo backing in Bitcoin. Tale distinzione ha ridotto le preoccupazioni immediate su passività LBTC non coperte. Tuttavia, la transazione rappresentava comunque circa il 95% delle riserve Bitcoin di Liquid.

Liquid ha risposto informando gli exchange, che hanno sospeso o si sono preparati a sospendere depositi e prelievi di LBTC. Anche i nodi del bridge sono stati temporaneamente disattivati mentre i membri della federazione proseguivano le indagini. Secondo la rete, asset tra cui USDT, DePix e real world assets tokenizzati non sono stati प्रभावित.

L’indagine ora si concentra su due domande aperte: in che modo il processo di autorizzazione abbia consentito il peg-out e se i BTC ritirati verranno restituiti. Il modo in cui Liquid e Blockstream spiegheranno la discrepanza tra le chiavi di autorizzazione intatte e il prelievo autorizzato probabilmente influenzerà la fiducia nel modello federato della rete in futuro.

Fonte: Blockonomi