Circa 4.000 BTC sono defluiti dalla Liquid Network, la sidechain federata gestita dalla Blockstream di Adam Back, all'inizio di settembre, e non sono stati ancora restituiti circa 600 BTC — una somma del valore di circa 47 milioni di dollari. L'exploit è coinciso con ulteriori turbolenze intorno alle attività di Back: un accordo da 4 miliardi di dollari nel campo delle tesorerie bitcoin del suo ambiente è saltato, e Bloomberg riporta che diverse società stanno citando in giudizio la società mineraria Exacore. Non esiste prova di un legame causale tra l'hack, l'accordo fallito e le cause legali.

Back è un crittografo il cui schema Hashcash è citato nel white paper di Bitcoin, e viene pertanto annoverato tra i pionieri e i primi appassionati di Bitcoin. Nel 2014 ha fondato Blockstream, che realizza infrastrutture per Bitcoin, inclusa la Liquid Network. La sidechain regola i bitcoin come L-BTC, con token garantiti da BTC che gli utenti depositano prima in un portafoglio della cosiddetta Federation. Secondo Bloomberg, Blockstream ha raccolto 210 milioni di dollari dopo la Bitcoin conference di Nashville del 2024. Nell'aprile 2025 si parlava anche di oltre milioni di dollari per l'unità mineraria — sebbene Blockstream avesse scorporato il proprio business minerario circa due anni prima.

L-BTC scoperti: come l'exploit ha prosciugato 4.000 BTC

L'attacco ha sfruttato un difetto di Elements, il software su cui si basa Liquid. Il bug riguardava una cache che verifica le range proof — i controlli crittografici che mantengono confidenziali gli importi delle transazioni su Liquid consentendo comunque alla rete di verificarne la validità. Gli aggressori hanno prima usato questa falla per creare L-BTC privi di copertura in bitcoin. Hanno poi utilizzato la Peg-out Authorization Key (PAK) del servizio Liquid SideSwap, che ha loro permesso di scambiare i token scoperti con prelievi reali di BTC dal portafoglio della Federation. La catena dell'exploit ha quindi combinato le due salvaguardie che tengono insieme il modello federato — il software che valida le transazioni e le chiavi che autorizzano i prelievi — ed è per questo che un singolo difetto ha potuto raggiungere la stessa riserva che garantisce tutti gli L-BTC.

In totale, circa 4.000 BTC del valore di circa 320 milioni di dollari sono usciti dal portafoglio in questo modo. Prima dell'attacco conteneva circa 4.200 BTC; dopo, soltanto 197 BTC. Questa riserva, proveniente dai depositi degli utenti, è custodita dalla Federation. Di conseguenza, gli L-BTC in circolazione hanno temporaneamente perso gran parte della loro copertura.

I white hat autoproclamati restituiscono la maggior parte dei fondi

Gli aggressori si sono presentati come white hat, vale a dire ricercatori di sicurezza che segnalano le vulnerabilità invece di sfruttarle. Successivamente hanno restituito circa 3.400 BTC. Ne hanno però trattenuti circa 598, del valore di circa 47 milioni di dollari, come ricompensa autoattribuitasi. In un messaggio on-chain, l'attaccante ha chiesto un bounty del 10%.

Samson Mow, ex chief strategy officer di Blockstream, ha confermato l'importo ancora dovuto. Ha anche detto che Blockstream è rimasta in contatto con gli hacker white hat. Il conteggio di Blockstream, al contrario, fissa la cifra a circa 602 BTC. La società di analisi TRM Labs classifica l'incidente, di circa 319 milioni di dollari, come il più grande hack del 2026 finora; secondo gli analisti, l'85% dei fondi è tornato indietro.

Pochi giorni dopo l'attacco, una patch per Elements ha colmato la falla, e la rete ha in seguito ripreso la produzione di blocchi. Blockstream alla fine ha respinto la richiesta di bounty: "Non pagheremo per la restituzione di proprietà rubata. Non abbandoneremo i nostri utenti." L'azienda definisce l'episodio un furto. Prendere asset senza autorizzazione e trattenere la loro restituzione è "un crimine, non una responsible disclosure", ha detto — una condotta che, a suo avviso, non ha nulla a che vedere con il lavoro dei white hat. Come gestire gli attaccanti che chiedono un pagamento è un dilemma ricorrente dopo i grandi exploit nel mondo crypto; la risposta di Blockstream in questo caso è stato un rifiuto inequivoco.

Già il settembre Back aveva assicurato che il peg 1:1 degli L-BTC rispetto a bitcoin sarebbe rimasto garantito. Tuttavia, secondo un avviso di Liquid di fine settembre, i peg-out — i prelievi da Liquid verso la blockchain di Bitcoin — restano sospesi. I circa 602 BTC ancora outstanding contano quindi come non recuperati. Per i possessori di L-BTC, la sospensione è il vincolo pratico: senza i peg-out i bitcoin detenuti su Liquid non possono essere prelevati sulla blockchain principale; un eventuale avviso successivo che revoca la sospensione, e qualsiasi movimento delle monete ancora dovute, sono i segnali visibili da monitorare.

BSTR e Cantor cancellano l'accordo da 4 miliardi di dollari

Back è anche CEO e co-fondatore di Bitcoin Standard Treasury Company (BSTR), un veicolo di tesoreria bitcoin — una società il cui bilancio è costituito principalmente da bitcoin. Nel luglio 2025, BSTR ha firmato un accordo di fusione con Cantor Equity Partners I (CEPO), quotata al Nasdaq, una special purpose acquisition company (SPAC) — una società quotate di comodo che porta in borsa una società privata tramite una fusione. Secondo i termini originali, il veicolo avrebbe dovuto apportare 30.021 BTC, del valore di oltre 3 miliardi di dollari, attraverso la combinazione, mentre altri 1,5 miliardi di dollari sarebbero dovuti arrivare da una PIPE, un aumento di capitale privato presso investitori selezionati. Complessivamente, l'accordo implicava una valutazione di circa 4 miliardi di dollari. Le votazioni sulla transazione sono però slittate più volte.

Nell'agosto 2026, poco più di un anno dopo la firma, BSTR e CEPO hanno rescisso l'accordo. Il comunicato stampa di BSTR (deposito SEC) descrive la risoluzione come reciproca e indica come motivo le deboli valutazioni dei veicoli di tesoreria bitcoin quotati e i mercati dei capitali in difficoltà. Bloomberg, d'altra parte, attribuisce la rescissione a Cantor. La questione non è chiusa: secondo Cantor, BSTR deve una penale di risoluzione di 15 milioni di dollari. Per ora, dell'accordo miliardario pianificato resta quindi solo un credito del valore di diversi milioni.

Exacore: bollette elettriche e cause dei fornitori nel business minerario

Exacore opera nel mining di bitcoin, dove le strutture di calcolo producono nuovi blocchi e consumano grandi quantità di energia. Secondo Bloomberg, il business minerario scorporato di Blockstream ha collaborato con Exacore come partner. Il responsabile di Exacore, secondo il rapporto, è Chris Cook, un fidato di lunga data di Back. Un tribunale ha condannato Cook a 41 mesi di prigione per mail fraud nel 2008, riporta Bloomberg, e in Florida è pendente una causa nei suoi confronti legata a un Boeing 767.

Il fornitore di servizi elettrici Xcel Energy ha citato in giudizio Exacore per bollette non pagate, con circa 1,1 milioni di dollari ancora dovuti, secondo Bloomberg. Giga Energy ha presentato causa a febbraio perché Exacore avrebbe viol un contratto di acquisto di attrezzature minerarie; Exacore lo nega, scrive Bloomberg. Inoltre, BLS Electrical chiede poco meno di 1 milione di dollari per lavori e attrezzature non pagati.

I dettagli dei casi provengono dal rapporto di Bloomberg, e gli importi riflettono il punto di vista dei querelanti. Le sole richieste di Xcel e BLS ammontano a circa 2 milioni di dollari, rendendo la bolletta elettrica la voce più rilevante tra le richieste quantificate da Bloomberg. Il mix di richieste — elettricità, hardware minerario, lavori elettrici — rispecchia la struttura dei costi di un'attività costruita attorno all'energia e ad attrezzature specializzate. Nessuna delle cause è ancora stata decisa; come depositate, gli importi restano richieste e non accertamenti giudiziari.

Blockstream prende le distanze dal partner minerario

Blockstream traccia una linea di demarcazione tra sé ed Exacore. Un portavoce ha dichiarato che la società non ha alcun coinvolgimento operativo in Exacore e nessun legame con la società. Analogamente, il presidente Michael Minkevich prende le distanze dal mining, che descrive come ad alta intensità di capitale e poco adatto a Blockstream.

Tuttavia, Bloomberg riporta un legame con il mining che passa attraverso Back stesso. Un documento del 2025 lo indica come direttore di BM OpCo, riferisce il quotidiano. BM OpCo è il mutuatario del Blockstream Mining Note 2 (BMN2). Secondo Blockstream, Back non detiene quote patrimoniali lì. Emesso in Lussemburgo nel 2024, il titolo passa attraverso SICOS Securities, con STOKR che gestisce la tokenizzazione. Nell'ottobre 2025, la sua capacità è salita da 200 milioni a 2 miliardi di dollari. Back non ha risposto alle richieste di Bloomberg.

La situazione attuale

Circa 600 BTC dell'exploit di Liquid restano outstanding, e Blockstream si rifiuta di pagare un bounty per la loro restituzione. Bloomberg riferisce che contro Exacore sono pendenti cause con richieste quantificate per un totale di circa 2 milioni di dollari. Secondo quanto affermato da Cantor, BSTR deve inoltre a Cantor 15 milioni di dollari. Da qui in avanti, i riferimenti concreti da monitorare sono la restituzione delle monete ancora dovute, un eventuale avviso di Liquid che revochi la sospensione dei peg-out, la risoluzione della richiesta di 15 milioni di dollari e gli esiti delle cause contro Exacore.

Fonte: Crypto Valley Journal, sulla base di ricerche di Bloomberg.