La Liquid Federation ha annunciato che le riserve di bitcoin della Liquid Network sono state pienamente ripristinate, riportando la copertura 1:1 in BTC per LBTC, il token che rappresenta il bitcoin sulla sidechain di Blockstream. Il ripristino arriva quasi due mesi dopo un exploit di settembre che ha drenato circa 320 milioni di dollari in BTC, lasciando un vuoto nelle riserve della rete. Le monete mancanti sarebbero state fornite da Blockstream.

Blockstream ha colmato il vuoto nelle riserve

In un annuncio pubblicato su X martedì 3 novembre, la Liquid Federation ha scritto di essere "lieta di annunciare che le riserve di bitcoin della rete sono state pienamente ripristinate, ripristinando la copertura 1:1 in BTC per tutti gli LBTC."

Il CEO di Blockstream Adam Back ha condiviso uno screenshot di una dashboard che mostra le attività della Liquid Network in linea con le passività al 100%. Lo screenshot mostrava inoltre che il deficit di riserva ora si attesta a 0,00 BTC.

Quando a Samson Mow, membro del consiglio della Liquid Federation ed ex dirigente di Blockstream, è stata chiesta la provenienza dei fondi, ha risposto: "Come detto molte volte, Blockstream."

Mow ha tracciato pubblicamente i depositi man mano che arrivavano. Secondo i suoi aggiornamenti, 50 BTC sono arrivati nel wallet della federation il 28 ottobre, lasciando un mancante di 550 BTC. Altri 300 BTC sono stati aggiunti al wallet lunedì, seguiti da ulteriori 250 BTC più tardi nello stesso giorno, completando il ripristino del peg.

I depositi chiudono anche il cerchio dell'aritmetica dell'exploit: dei circa 4.000 LBTC privi di copertura coniati a settembre, 3.400 BTC sono tornati il giorno successivo, lasciando circa 600 token in circolazione — lo stesso vuoto ora colmato dai 600 BTC tracciati da Mow. Il deficit era più di una semplice voce contabile: gli LBTC privi di copertura possono essere instradati attraverso i servizi di peg-out per prelevare bitcoin reali, come dimostrato dall'attaccante tramite SideSwap, quindi fino al reintegro ogni token privo di copertura in circolazione rappresentava un credito che la riserva non poteva onorare.

Gli scambi diretti tra bitcoin e LBTC erano già ripresi settimane prima attraverso i provider partecipanti. Tuttavia, la Federation non ha dichiarato se tutte le restanti restrizioni sui peg-out siano state ormai rimosse e, oltre ai depositi di Blockstream, non ha reso noto come sia stato pienamente coperto il vuoto nelle riserve.

Come gli attaccanti hanno coniato LBTC privi di copertura

Presunti white-hat hanno sfruttato un buy-in in Elements, il software open source che gestisce Liquid, il 6 settembre — un incidente poi trattato nella valutazione dell'incidente di sicurezza della Liquid Network. Il difetto era situato in una cache che memorizzava i risultati di costosi controlli rangeproof. Poiché la chiave della cache non includeva l'asset commitment e lo scriptPubKey, un nodo poteva riutilizzare una proof già verificata in un contesto in cui non era valida.

Questa debolezza ha permesso all'attaccante di coniare circa 4.000 LBTC privi di copertura e di instradarli attraverso il servizio di peg-out di SideSwap per prelevare bitcoin reali. Le chiavi private non sono state rubate durante l'exploit, grazie al multisig 11-su-15 della federation e alle chiavi di autorizzazione di SideSwap, che hanno funzionato come previsto.

Il giorno successivo, l'attaccante ha restituito 3.400 BTC ma ne ha trattenuti circa 598, per un valore di circa 47 milioni di dollari all'epoca. L'attaccante ha quindi richiesto un bug bounty del 10% in cambio delle monete rimanenti. Blockstream ha rifiutato la proposta, dichiarando che non avrebbe "pagato un riscatto che supera di gran lunga il loro impatto economico". Pochi giorni dopo, il 9 settembre, Blockstream ha rilasciato una versione rafforzata di Elements, la v23.3.4.

Le correzioni possono prevenire futuri attacchi?

Interrogato sotto il suo post iniziale su X su cosa avrebbe impedito il ripetersi dello stesso tipo di attacco, Back ha detto che tre linee di difesa sono state rafforzate. Ha scritto che le chiavi di autorizzazione dei peg-out (PAK) sono state rinnovate e spostate su hardware wallet a freddo. Le cache di validazione delle proof, ha osservato, sono state disattivate e il bug corretto per i nodi. Per la terza correzione, Back ha scritto che le regole di consenso sono state rafforzate, "e falliscono in modo sicuro". Ha aggiunto che i sistemi hanno superato molteplici audit di terze parti.

L'avvertimento sulle correzioni suggerite dall'IA

Back ha anche detto che una delle lezioni tratte dall'incidente è trattare ogni suggerimento dell'IA con sospetto, dichiarando: "non fidarti, verifica."

Il suo avvertimento non arriva dal nulla. Un'analisi indipendente ha suggerito che l'attaccante di settembre ha effettuato il reverse engineering della vulnerabilità da un commit GitHub con titolo pubblico prima che qualsiasi nodo di produzione fosse stato aggiornato. Secondo il Threat Intelligence Group di Google (GTIG), gli attaccanti hanno sfruttato 141 vulnerabilità tra gennaio e agosto 2026 — 14 incidenti in più rispetto alle 127 registrate nell'intero 2025. È stato reso noto che gli strumenti di IA stanno riducendo il divario tra la divulgazione di un bug e un exploit funzionante.

La Liquid Federation ha dichiarato che sta anche preparando modifiche alla governance e alla supervisione, con ulteriori dettagli promessi nelle prossime settimane.

Fonte: Cryptopolitan