La rete Liquid ha recuperato la maggior parte dei Bitcoin sottratti in un grave exploit, anche se quasi 600 BTC rimangono nelle mani degli autori dell'attacco.

Il 7 settembre, gli hacker autodefinitisi white-hat hanno restituito 3.400 BTC al wallet della Liquid Federation. Al momento della transazione, le monete recuperate valevano circa 268 milioni di dollari. La restituzione ha ripristinato all'incirca l'85% dei Bitcoin sottratti alla rete.

Gli attaccanti hanno trattenuto circa 598,5 BTC, del valore di circa 47 milioni di dollari. Nessun accordo pubblico conferma quell'importo come bug bounty formale, sebbene i fondi trattenuti siano di fatto diventati una ricompensa non ufficiale.

Il recupero è seguito a una trattativa insolita condotta interamente tramite transazioni Bitcoin. Gli attaccanti avevano dichiarato che avrebbero restituito la maggior parte dei fondi dopo che Blockstream avesse corretto la vulnerabilità che colpiva l'infrastruttura di Liquid.

Liquid è una sidechain di Bitcoin sviluppata e mantenuta da Blockstream, gestita da una federazione di organizzazioni membri anziché da miner come sulla catena base di Bitcoin. La rete emette L-BTC, un asset agganciato uno-a-uno al Bitcoin, che trader ed exchange utilizzano per regolamenti più rapidi rispetto a quelli tipicamente consentiti dalla mainchain di Bitcoin. Questo design federato significa che la sicurezza del peg — il meccanismo che converte Bitcoin in L-BTC e viceversa — è centrale per il funzionamento della rete.

Come ha funzionato l'exploit di Liquid

L'incidente è iniziato quando circa 4.000 BTC hanno lasciato il wallet della federazione di Liquid attraverso una transazione di peg-out. Liquid ha dichiarato che la violazione non ha coinvolto chiavi private compromesse.

La vulnerabilità sembra invece legata a Elements, il software open source alla base di Liquid. Secondo quanto riportato, la falla avrebbe permesso agli attaccanti di coniare L-BTC senza un'adeguata copertura in Bitcoin, da utilizzare poi per prelevare Bitcoin reali dalle riserve di Liquid.

L'incidente non sembra aver compromesso nemmeno l'infrastruttura di SideSwap. Tuttavia, Liquid ha sospeso sia i peg-in sia i peg-out mentre gli operatori analizzavano la vulnerabilità.

Storicamente, i bridge cross-chain e sidechain sono stati tra i componenti dell'infrastruttura crittografica più presi di mira. Grandi exploit di bridge negli anni passati — come gli incidenti di Ronin Network e Wormhole del 2022 — hanno causato ciascuno perdite di diverse centinaia di milioni di dollari, e la maggior parte di quei fondi non è mai stata restituita. L'esito di Liquid, in cui la maggior parte del Bitcoin rubato è stata recuperata, è relativamente raro per attacchi di questa scala.

Liquid affronta una ripartenza difficile

Blockstream ha da allora corretto i nodi bridge interessati, permettendo agli attaccanti di restituire la maggior parte dei fondi. Ciononostante, Liquid non ha immediatamente ripristinato le operazioni normali.

I restanti 598,5 BTC sollevano inoltre interrogativi sul fatto che gli attaccanti abbiano agito come ricercatori white-hat legittimi o abbiano semplicemente negoziato il proprio compenso dopo aver sfruttato la falla. I programmi formali di bug bounty nel settore delle criptovalute pagano in genere ai ricercatori cifre di gran lunga inferiori per vulnerabilità divulgate responsabilmente, e premiare attaccanti che prima sottraggono fondi può creare incentivi su cui i ricercatori di sicurezza mettono in guardia da tempo.

Liquid deve ora affrontare la sfida di riavviare il proprio bridge Bitcoin assicurando che il problema di autorizzazione non possa più essere sfruttato. Gli utenti e gli exchange in possesso di L-BTC attenderanno la piena ripresa di peg-in e peg-out, oltre a un eventuale rapporto tecnico post-incidente che descriva nel dettaglio la falla corretta. Il recupero riduce sensibilmente il danno finanziario, ma l'incidente evidenzia i rischi posti dalle vulnerabilità nei sistemi incaricati di custodire grandi quantità di Bitcoin.