La sidechain Liquid di Blockstream è sospesa da domenica, dopo che circa 4.000 BTC del valore di circa 320 milioni di dollari hanno lasciato il wallet della federazione che garantisce ogni L-BTC in circolazione.

Liquid, lanciata da Blockstream nel 2018, è una sidechain Bitcoin federata utilizzata principalmente da exchange e società di trading per regolamenti più rapidi e asset emessi; i suoi token L-BTC dovrebbero essere garantiti uno-a-uno dal bitcoin custodito nel wallet della federazione, motivo per cui gli L-BTC privi di copertura colpiscono direttamente la promessa fondamentale della rete.

SideSwap, un membro della federazione che opera un servizio di peg-out, ha dichiarato che un cliente le ha inviato 4.000 L-BTC alle 14:05 UTC. I token sono stati distrutti (burn) con un'autorizzazione valida e, 23 minuti dopo, la federazione ha erogato 3.996 BTC.

We are aware of a security incident on @Liquid_BTC . Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds… — Liquid Network 🌊 (@Liquid_BTC) September 6, 2026

Liquid ha dichiarato che i fondi sono transitati attraverso la Peg-out Authorization Key di SideSwap, ma che né tale chiave né qualsiasi altra chiave della federazione è stata compromessa. Anche SideSwap ha affermato che nessuno dei suoi sistemi è stato violato, indicando invece un bug in Elements, il software open source su cui gira Liquid.

Blockstream non ha spiegato il bug, sebbene una correzione fosse stata aggiunta al software sottostante di Liquid cinque settimane prima (commit di Elements). Nulla è stato sottratto con la forza dal wallet: qualcuno ha creato L-BTC non coperti da alcun Bitcoin, per poi convertirli attraverso un peg-out dall'aspetto ordinario. Quel divario tra l'arrivo della correzione upstream e l'effettiva esecuzione del software aggiornato da parte dei membri della federazione è la questione immediata che grava sull'incidente.

Il wallet conteneva circa 4.200 BTC prima di domenica e circa 200 dopo, ovvero circa il 5% del saldo precedente.

Dialogo con i presunti white hat

La controparte ha lasciato un messaggio on-chain con la scritta "we are whitehats. contact us on chain." (transazione) Blockstream ha risposto un'ora dopo con un indirizzo email e da allora le due parti hanno scambiato messaggi firmati con PGP incorporati in transazioni Bitcoin.

Gli hacker si sono offerti di restituire la maggior parte delle monete, allegando poi una condizione: correggere prima il bug, perché la chain è ancora a rischio all'ultimo commit, e aggiornare ogni nodo. La risposta di Blockstream—"Yes, thank you"—rispondeva all'offerta precedente ed è stata confermata nello stesso blocco della condizione. L'esito dipende ora dal fatto che ogni funzionario della federazione effettui l'aggiornamento in tempo perché la chain possa riprendere in sicurezza con la copertura completamente ripristinata.

Il chief technology officer di Ledger, Charles Guillemet, ha inizialmente sostenuto che "White hats don't drain a bridge and then solicit an 'on-chain' contact," paragonando l'episodio agli attacchi Ronin ed Euler—due dei più grandi exploit nella storia delle criptovalute, in cui gli attaccanti si sono impossessati di centinaia di milioni prima che venissero negoziate recuperi parziali. Ha brevemente ammesso che potessero essere persone che hanno "intensively played with recent LLMs," per poi irrigidire la propria posizione quando è comparsa la condizione: la prassi dei white hat è "cambiata", ha scritto, aggiungendo che, "Now they steal the money and refuse to give back the funds before the vulnerability is fixed..."

L'ex responsabile della sicurezza di Blockstream Samson Mow, che ha pubblicato una cronologia dello scambio, stima che l'indirizzo degli hacker contenga circa 3.998,5 BTC.

Gli altri asset su Liquid, tra cui USDT, DePix e asset del mondo reale tokenizzati, non sono stati toccati, e la stessa rete Bitcoin non è interessata.