Liquid Network dichiara di aver temporaneamente sospeso la propria sidechain Bitcoin dopo che presunti hacker "white-hat" hanno prelevato circa 320 milioni di dollari in Bitcoin dal suo federation wallet. Le intenzioni degli attori restano controverse e i registri della blockchain mostrano già che una larga parte dei fondi sta tornando verso un indirizzo collegato alla federazione. La sospensione, comunicata per la prima volta il 6 settembre 2026, rimane solo parzialmente verificata e i dettagli chiave su portata, recupero dei fondi e causa principale sono ancora non confermati.

Liquid Network ha segnalato la sospensione della sidechain dopo un presunto prelievo che ha valutato a circa 320 milioni di dollari in Bitcoin. La caratterizzazione di "white-hat" proviene dagli stessi attori e resta non verificata e contestata. La portata precisa della sospensione e l'entità di quanto recuperato restano non confermate, anche se i dati on-chain mostrano una restituzione parziale dei fondi.

Cosa ha dichiarato Liquid Network sulla sospensione

Liquid Network ha dichiarato il 6 settembre 2026 che presunti hacker white-hat avevano prelevato circa 4.000 BTC dal suo federation wallet, secondo la dichiarazione ufficiale sull'incidente del progetto. La cifra è una stima dello stesso operatore, non una contabilità delle riserve ricostruita in modo indipendente. Il federation wallet è il punto di custodia del Bitcoin che garantisce l'L-BTC, l'asset rappresentativo della sidechain: Liquid, costruita sul codebase open-source Elements di Blockstream, opera come sidechain federata in cui un gruppo di membri funzionari — anziché miner — controlla collettivamente il Bitcoin ancorato e la firma dei blocchi. Questo design rende la sicurezza delle chiavi detenute dalla federazione, e del software che le protegge, centrale per il modello di fiducia della rete.

Liquid ha stimato il valore del prelievo a circa 320 milioni di dollari — una cifra descritta come dimensione stimata dell'incidente piuttosto che un prezzo verificato al momento del trasferimento per un singolo output.

L'azienda ha dichiarato che i bridge node erano stati temporaneamente disattivati e che non era possibile inviare nuove transazioni, sospendendo di fatto la sidechain al momento dell'annuncio. Ha aggiunto che il prelievo ha utilizzato la Peg-out Authorization Key di SideSwap, pur affermando che questa chiave e le altre chiavi della rete non erano state compromesse. SideSwap è un wallet e una borsa costruiti su Liquid e il riferimento alla sua Peg-out Authorization Key indica che il percorso del prelievo è passato da infrastrutture di terze parti collegate al processo di peg-out, anziché da una violazione diretta delle chiavi di firma della federazione, secondo il resoconto dello stesso operatore.

Liquid ha inoltre dichiarato che le borse erano state informate e avevano sospeso o avrebbero sospeso depositi e prelievi di L-BTC, e che USDT, DePix e altri asset del mondo reale emessi su Liquid non erano stati interessati dall'incidente. Tale dichiarazione non stabilisce se quegli asset siano rimasti trasferibili durante la sospensione della rete. Le notifiche alle borse seguono la prassi standard negli incidenti crypto: sospendere depositi e prelievi di un asset colpito è una comune misura di contenimento volta a impedire che token potenzialmente non pienamente garantiti vengano scambiati o spostati durante una sospensione.

Poiché l'annuncio proviene direttamente dall'operatore coinvolto, va letto come il resoconto del protocollo stesso anziché come una post-mortem indipendente completata. La dichiarazione completa è riportata di seguito.

We are aware of a security incident on @Liquid_BTC. Purported white-hat hackers have withdrawn 4,000 BTC ($320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message. What we know so far is that the funds…

— Liquid Network (@Liquid_BTC) September 6, 2026

Source: https://x.com/Liquid_BTC/status/2096696272447218108

I registri degli explorer forniscono una cifra più precisa del numero arrotondato dell'operatore. La transazione di prelievo, confermata al blocco 965783 il 6 settembre 2026 alle 14:28:56 UTC, ha inviato esattamente 3,996.01834922 BTC a un singolo indirizzo di output, con tutti gli 83 input provenienti da un unico indirizzo collegato alla federazione (transazione: 8db751a6…58a7b140).

Perché l'etichetta "white-hat" è ancora contestata

La descrizione di "white-hat" ha origine dagli attori stessi, non da un accertamento indipendente. Una transazione collegata confermata il 6 settembre alle 18:30:10 UTC conteneva un messaggio OP_RETURN decodificato con la scritta "we are whitehats. contact us on chain," che dimostra un'autodescrizione anziché un intento benevolo, un'autorizzazione o un'identità legale. L'uso di messaggi OP_RETURN per aprire un canale di negoziazione è uno schema consolidato negli incidenti crypto, poiché le transazioni Bitcoin offrono un modo pubblicamente verificabile per comunicare on-chain tra parti che non hanno altri recapiti.

Questa distinzione è rilevante perché l'etichetta da sola non stabilisce il permesso di spostare i fondi, un bounty concordato o un impegno a restituirli. Sullo stato attuale degli atti, l'evento si colloca tra un esercizio autorizzato dichiarato e un furto vero e proprio, e le prove fornite non chiariscono quale dei due sia.

Il Chief Technology Officer di Ledger, Charles Guillemet, ha messo in discussione l'inquadramento white-hat, come riportato da NFT Plazas, notando che prelevare centinaia di milioni di dollari prima della divulgazione si discosta dalla prassi white-hat convenzionale. Secondo le norme di responsible disclosure ampiamente citate, i ricercatori di sicurezza in genere segnalano una vulnerabilità alla parte interessata e coordinano la correzione prima, non dopo, di spostare fondi su larga scala. Secondo rapporti non confermati contenuti nello stesso resoconto, una vulnerabilità del software Elements avrebbe permesso la creazione di L-BTC non autorizzati e una fix esistente era stata distribuita solo parzialmente; nessuna post-mortem tecnica o dettaglio di patch è stato verificato in modo indipendente. Elements è il codebase open-source alla base di Liquid e una fix distribuita solo parzialmente tra i membri di una federazione significherebbe che alcuni eseguivano software corretto mentre altri no — anche se questa frammentazione della distribuzione resta non confermata.

Le questioni aperte su fondi e stato della rete

Lo sviluppo più chiaro è on-chain. Una transazione confermata al blocco 965950 il 7 settembre 2026 alle 16:09:25 UTC ha restituito esattamente 3.400 BTC allo stesso indirizzo collegato alla federazione, come mostrano i registri della blockchain. Si tratta di un trasferimento restituito, non della prova di un recupero completo né che la sidechain sia stata riaperta. I circa 596 BTC rimasti non contabilizzati nel pubblico dominio, insieme alla sidechain ancora sospesa, sono i principali punti da monitorare: la ripresa confermata della produzione di blocchi di Liquid e delle funzioni di peg-in/peg-out di L-BTC, eventuali dichiarazioni degli attori o dei loro termini negoziati e la divulgazione finale della causa tecnica.

Diverse cifre ampiamente circolate restano non verificate. Secondo rapporti non confermati, la riserva prima dell'incidente era di circa 4.200 BTC con circa il 95% prelevato, ma il saldo storico del wallet non è stato ricostruito in modo indipendente e la cifra di 4.200 BTC non va trattata come l'ammontare sottratto.

Ciò che richiede ancora riscontri è specifico: la durata esatta e le funzioni sospese, la base in dollari al momento del trasferimento per il prelievo, la destinazione e la sorte finale dei fondi, e se i saldi degli utenti siano stati interessati. Nessun deposito presso regolatori o forze dell'ordine è stato verificato, e "white-hat" non ha alcun valore legale in questo insieme di prove. L'incidente aggiunge comunque una questione ricorrente di settore sui design di custodia federati e da bridge, che più volte hanno concentrato grandi somme dietro un ristretto insieme di chiavi o disposizioni multisig e, in incidenti passati su altre reti, sono stati il punto di fallimento quando quelle chiavi o il software circostante sono stati sfruttati.

Il contesto di mercato è calmo più che in panico. Bitcoin scambiava intorno ai 78.677 dollari con un movimento di 24 ore modesto, un livello che ha attirato attenzione mentre i trader valutano le probabilità mutevoli di un rialzo dei tassi della Federal Reserve e la posizione di Bitcoin dopo il recupero dell'area dei 77.500 dollari. L'ampio indice crypto Fear & Greed si attestava a 69, in territorio di "Greed" — una lettura a livello di mercato che non può essere attribuita all'incidente di Liquid e non segnala come il prezzo di Bitcoin potrebbe reagire a una perdita confermata.

Disclaimer: questo articolo ha solo scopo informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Fate sempre le vostre ricerche prima di prendere decisioni.