La parte auto-dichiaratasi "white hat" che domenica aveva prelevato quasi 4.000 bitcoin dal portafoglio federale della rete Liquid ha restituito lunedì 3.400 BTC al portafoglio. Circa 598 BTC — il 15% del totale consolidato — sono rimasti presso lo stesso indirizzo del detentore come presunta ricompensa del valore di circa 48 milioni di dollari.

La rete Liquid è una sidechain di Bitcoin sviluppata da Blockstream che utilizza una federazione di funzionari, anziché il mining proof-of-work di Bitcoin, per validare i blocchi e gestire il peg multisig che custodisce i BTC a garanzia dell'asset L-BTC della rete. Questo modello federato implica che la sicurezza dei fondi in peg dipenda sia dall'onestà delle chiavi dei funzionari sia dalla correttezza del software Elements sottostante — ed è proprio quest'ultimo aspetto che i white hat hanno citato nei loro messaggi.

La transazione di restituzione (bc49a46d) è stata confermata alle 16:09 UTC del 7 settembre. Ha restituito esattamente 3.400 BTC all'indirizzo etichettato dello script di peg di Liquid e ha inviato il residuo di 598,5 BTC all'indirizzo dei "white hat" come resto.

Una giornata di trattative on-chain

Il trasferimento è seguito a una giornata di messaggi scritti direttamente nei blocchi Bitcoin — un metodo di comunicazione in cui i dati arbitrari incorporati nelle transazioni diventano visibili permanentemente a chiunque, offrendo alle parti un canale pubblico a prova di manomissione in assenza di contatti esterni alla chain. I white hat hanno per prima cosa pubblicato una transazione on-chain con un messaggio nel campo dati arbitrario OP_RETURN recante "contact us on chain"; il messaggio proveniva dall'indirizzo detentore dei 4.000 BTC prelevati dalla rete Liquid.

Un indirizzo collegato a Blockstream ha risposto con "Please contact security@blockstream.com." I messaggi successivi di quel mittente contenevano payload cifrati con Electrum e firme PGP verificabili contro la chiave di sicurezza pubblicata da Blockstream.

Nel blocco 965869, i white hat hanno chiesto in chiaro se fosse accettabile restituire "la maggior parte" dei fondi allo script della federazione; l'output da 1.000 sat di quella transazione serviva soltanto da vettore del messaggio.

Poco dopo, i white hat hanno scritto: "Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix", seguito da un messaggio cifrato indirizzato alla chiave PGP di Blockstream.

Nello stesso blocco, una risposta in chiaro firmata dal mittente di Blockstream diceva "Yes, thank you." Poche ore dopo, lo stesso indirizzo collegato a Blockstream ha pubblicato un'altra nota in chiaro: "Bridge nodes are patched, safe to return the funds."

Una ripartizione 85/15

Pochi minuti dopo l'arrivo dei 3.400 BTC, i white hat avevano restituito l'85% dei fondi, trattenendo il 15% come presunta ricompensa per la scoperta. La scelta è stata applaudita da alcuni su X come "meglio che tenersi il 100%", mentre altri sono rimasti colpiti dall'entità della somma. Sebbene il 15% possa sembrare proporzionato — in linea con le percentuali talvolta negoziate nei bug bounty di risposta a incidenti crypto — la somma totale è così grande da avvicinarsi ai 50 milioni di dollari ai prezzi attuali.

Blockstream sembrava scontento della ricompensa: poche ore dopo sono seguiti quattro messaggi cifrati on-chain — presumibilmente dopo che le urgenze immediate erano state gestite e gli avvocati avevano avuto modo di esprimersi. Un'ora dopo, Blockstream ha pubblicato un ulteriore messaggio cifrato. I white hat hanno risposto con due messaggi cifrati, e Blockstream ha replicato un'ora dopo. I white hat hanno quindi pubblicato una semplice ma significativa faccina triste, a suggerire che le trattative per ridurre l'entità della ricompensa non erano andate bene.

Il contenuto di quei messaggi cifrati è ignoto, e Blockstream non ha rilasciato dichiarazioni pubbliche in merito. L'intera conversazione può essere seguita su un sito dedicato realizzato dall'autore. Altri ricercatori che monitorano la conversazione e i dati on-chain includono il gist GitHub di Sjors e Alex Thorn di Galaxy Research su X.

Dichiarazioni ufficiali

La dichiarazione di domenica di Liquid resta l'ultimo post ufficiale del network: presunti white hat hanno prelevato circa 4.000 BTC attraverso il percorso di peg-out di SideSwap, il PAK stesso non è stato compromesso, gli altri asset emessi non sono stati colpiti e la sidechain è stata messa in pausa. Alla stesura di questo articolo, Liquid e Blockstream non avevano pubblicato una nuova dichiarazione sulla restituzione dei 3.400 BTC. SideSwap aveva affermato che gli L-BTC del peg-out originario "provenivano da un bug di Elements". Elements è la base di codice open source, derivata da Bitcoin Core, su cui è costruita Liquid — il che significa che la falla segnalata sarebbe rilevante anche per altri operatori che gestiscono sidechain basate su Elements.

Restano irrisolti il destino dei 598,5 BTC trattenuti, la ripresa piena dell'operatività di Liquid e l'eventuale pubblicazione di un ulteriore rendiconto ufficiale dell'incidente.

Questo articolo è apparso originariamente su Bitcoin Magazine ed è stato scritto da Juan Galt.