Un hacker che si autodefinisce white hat ha restituito 3.400 BTC al federation wallet di Liquid Network dopo che Blockstream ha confermato che la vulnerabilità era stata corretta. Tuttavia, quasi 47 milioni di dollari in Bitcoin restano nelle mani dell'attore — e nessun accordo pubblico di bounty ne spiega il motivo.

I 598,5 BTC ancora sotto il controllo dell'attore rappresentano circa il 15% dei circa 4.000 BTC prelevati dal federation wallet il 6 settembre. Nessuna dichiarazione pubblica di Blockstream o della Liquid Federation ha confermato che il Bitcoin trattenuto sia stato formalmente offerto come ricompensa.

La restituzione è avvenuta dopo una serie di messaggi on-chain scambiati tra l'hacker e Blockstream. Questi messaggi vertivano sulla correzione della vulnerabilità e sull'aggiornamento dei nodi della rete, ma non specificavano pubblicamente alcun importo di riscatto o bounty.

Il white hat di Liquid Network tiene 47 milioni di dollari

La decisione di trattenere 598,5 BTC ha attirato l'attenzione critica degli osservatori del settore. Charles Guillemet, CTO di Ledger, ha osservato su X che i fondi rimanenti erano ancora sotto il controllo del sedicente white hat. Ha suggerito che, se i fondi fossero stati trattenuti come leva contrattuale in un accordo crittografico on-chain, la condotta potrebbe assomigliare più a un ricatto che al classico lavoro di sicurezza white hat.

So, 3,400 BTC were refunded. The "white hats" still hold 600 BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking! Let's see what happens to these 600 BTC… pic.twitter.com/BBKLrMVsqd — Charles Guillemet (@P3b7_) September 7, 2026

Anche altri membri della community crypto hanno messo in discussione l'etichetta di "white hat". Essi sostengono che i ricercatori di sicurezza convenzionali in genere divulgano le vulnerabilità o si coordinano con i progetti colpiti prima di muovere grandi quantità di fondi. Nessun accordo formale di bug bounty relativo ai 598,5 BTC trattenuti è stato reso pubblico da Blockstream o dalla Liquid Federation.

Lo sviluppatore Bitcoin e contributore open source Miguel Medeiros ha riassunto la vicenda con sarcasmo, definendola la "Miglior telenovela del 2026" e dichiarando: "È stata meglio di Breaking Bad".

CONFIRMED. Block 965950, mined by Foundry. 3,400 BTC back in the Liquid federation wallet. Attacker keeps 598.5 BTC. 27 hours from the fork to the return. 11 rounds of OP_RETURN, PGP signatures, an Electrum tutorial and a accelerator. All settled… pic.twitter.com/7HisqMjqNW — Miguel Medeiros (@_miguelmedeiros) September 7, 2026

Liquid Network resta in pausa dopo l'hack Bitcoin

I bridge node di Liquid restano disabilitati all'8 settembre, mentre depositi e prelievi di L-BTC rimangono sospesi su diversi exchange. Blockstream ha dichiarato che è stato distribuito software aggiornato e che i membri della Federation si stanno preparando a un riavvio coordinato della rete.

La pausa sottolinea il design operativo stesso di Liquid: si tratta di una sidechain di Bitcoin sviluppata da Blockstream e gestita da una federazione di entità membri anziché da miner, il che significa che la sicurezza dipende dalle azioni coordinate di tali membri della federazione e dall'hardware che utilizzano per firmare le transazioni. È proprio questa struttura federata a richiedere un riavvio coordinato — anziché un ripristino automatico — dopo che i nodi della rete sono stati messi offline.

Following the recent incident affecting the Liquid Network and the movement of funds, Blockstream, as Liquid's technical provider, and the Liquid Federation have been working diligently to resolve the ongoing situation and ensure the return of assets. Updated software has… — Blockstream (@Blockstream) September 8, 2026

White hat hanno già trattenuto bounty in passato

Il caso di Liquid Network non è senza precedenti nel settore crypto. In diversi incidenti di alto profilo, hacker che hanno restituito la maggior parte dei fondi rubati hanno potuto conservare una parte come cosiddetto bounty white hat.

Nell'exploit di Team Finance del 2022, un attaccante ha restituito circa 13,4 milioni di dollari sui 15,8 milioni rubati, trattenendo all'incirca il 10%. Nell'hack di SafeMoon del 2023, l'attaccante ha accettato di restituire l'80% di quasi 9 milioni di dollari e di conservare il restante 20% come bounty.

Disposizioni simili si sono verificate anche nell'hack del bridge Nomad, dove il progetto ha offerto esplicitamente un bounty del 10% a chiunque restituisse almeno il 90% dei fondi, e in un caso di address poisoning del 2024 che coinvolgeva circa 72 milioni di dollari in Bitcoin con_wrapped, in cui l'attaccante ha accettato di restituire il 90% trattenendo il 10%. Più di recente, anche GMX e Renegade hanno utilizzato accordi di bounty white hat al 10%.

In quei casi precedenti, la percentuale trattenuta dall'attaccante era stata offerta esplicitamente dal progetto o concordata apertamente come parte di un accordo, ed è proprio questo a distinguerli dalla situazione di Liquid, dove le condizioni — se mai ve ne sono — restano non divulgate.

Perché conta il 15% trattenuto dal white hat di Liquid Network

La crypto ha precedenti di white hat che conservano parte dei fondi recuperati — ma tali accordi vengono in genere negoziati o offerti esplicitamente come bounty. Il caso di Liquid Network si distingue perché l'hacker ha trattenuto circa il 15% dei fondi, pari a 598,5 BTC, senza alcun accordo reso pubblico che specifichi un bounty.

Il caso solleva inoltre questioni irrisolte sulla responsabilità nei sistemi federati: gli utenti di L-BTC e gli exchange che si affidano alla rete non dispongono attualmente di alcun rendiconto pubblico su ciò che, eventualmente, Blockstream o la Federation hanno accettato in cambio della restituzione dei 3.400 BTC. Il fatto che i fondi trattenuti vengano o meno caratterizzati come bounty — formalmente o informalmente — è destinato a influenzare il giudizio sulle future gestioni di incidenti tra progetti e sedicenti white hat.

Resta la domanda centrale: il Bitcoin trattenuto era una ricompensa negoziata — o semplicemente Bitcoin che l'hacker ha scelto di tenersi?