Liquid Network, 320 milioni di dollari rubati e promessi di restituire: il

Il 6 settembre 2026 operatori sconosciuti hanno prelevato circa 4.000 BTC dal portafoglio federato di Liquid Network. L'ammontare, valutato circa 320 milioni di dollari, rappresenta quasi il 95% delle riserve Bitcoin della sidechain. Gli aggressori si sono autodefiniti "white hat" e hanno condizionato la restituzione dei fondi alla pubblicazione di una patch correttiva, trattenendo 598 BTC come compensazione autoproclamata secondo una sola fonte.

Il bug nella cache: come una verifica saltata ha generato token non collateralizzati

La sidechain Liquid Network, gestita da Blockstream, utilizza le Confidential Transactions per occultare importi e asset nelle transazioni. Il software open-source Elements mantiene una cache delle verifiche di range proof per evitare ricalcoli crittografici costosi.

Secondo l'analisi di OrangeSurf pubblicata su Forklog e verificabile nel commit c26d719c29a40da280a825b25657e9c3d8bc7d99 del repository ElementsProject/elements, la funzione SignatureCache::ComputeEntryRangeProof costruiva la chiave di cache utilizzando solamente i campi proof e commitment. Ometteva asset_commitment e scriptPubKey.

Questa omissione ha consentito di presentare una range proof relativa a un asset diverso e ricevere dalla cache il risultato di una verifica precedente relativa a una transazione legittima. Secondo Forklog, è stato possibile generare token L-BTC privi del corrispettivo collateral su Bitcoin main chain, con la rete che li considerava validi.

I token creati sono stati scambiati tramite il meccanismo di peg-out di SideSwap. Liquid Network ha dichiarato che la chiave di autorizzazione al peg-out (PAK) "non è stata compromessa". SideSwap ha confermato che gli aggressori non hanno accesso ai suoi sistemi. La vulnerabilità risiedeva esclusivamente nella logica di validazione del nodo Elements.

La trattativa on-chain: patch prima dei soldi

L'interazione tra aggressori e Liquid Network si è svolta attraverso messaggi OP_RETURN nella blockchain di Bitcoin, integrata da comunicazioni PGP-criptate e, secondo Yellow.com, da contatto su Signal. Alex Thorn di Galaxy Research ha ricostruito la conversazione per The Cyber Express.

"Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix." — Messaggio on-chain degli aggressori, citato da The Register

Yellow.com indica l'avvio della conversazione alle 11:30 PDT del 6 settembre, con messaggi alle 19:20 e 20:30. La transazione di prelievo figura nel blocco Bitcoin 965.783, timestamp 14:28:56 UTC — precedente alla negoziazione.

Liquid Network ha disabilitato i nodi bridge e sospeso le operazioni; gli exchange hanno interrotto depositi e prelievi di L-BTC. Asset non-Bitcoin sulla sidechain — USDT, DePix, token RWA — non sono stati toccati. La blockchain di Bitcoin main chain non ha subito impatti.

La discrepanza sulla restituzione: promessa contro esecuzione

Le fonti divergono sullo stato dei fondi. SiliconAngle, in un articolo datato 7 settembre, afferma che "gli aggressori hanno restituito la maggior parte del bottino nelle prime ore di oggi", specificando 598 BTC trattenuti. The Register, Forklog, Yellow.com, The Cyber Express e Shattered.io riportano esclusivamente la promessa di restituzione, con fondi ancora detenuti al momento della pubblicazione.

Questa discrepanza non è risolta dalle fonti disponibili. Il brief classifica la notizia di SiliconAngle come potenzialmente prematura rispetto alla maggioranza delle fonti.

La definizione di "white hat" è contestata. Charles Guillemet, CTO di Ledger, ha dichiarato a Yellow.com: "Legitimate security researchers would not normally drain a bridge and then ask the affected project to make contact on-chain." Liquid Network ha utilizzato il qualificativo "presunto white hat" (purported white-hat).

Il trattenimento di 598 BTC (~47 milioni di dollari) come "bounty" autoproclamato — riportato solo da SiliconAngle — riproduce elementi formali di una richiesta estorsiva: prelievo di fondi, condizione per la restituzione, compensazione unilaterale. La fonte non specifica se questa interpretazione sia condivisa da Liquid Network o dagli investigatori.

Il contesto: sidechain e bridge come bersagli nel 2026

Secondo i dati citati da SiliconAngle, 50 violazioni nel settore crypto hanno totalizzato 136,3 milioni di dollari di danni in agosto 2026. L'incidente Liquid Network, con ~320 milioni di dollari in un singolo evento, supera quella cifra aggregata. Questo dato puntuale non consente di stabilire un pattern consolidato per l'intero anno 2026.

La struttura federata di Liquid Network — con circa 80 membri e una soglia di firma 11-of-15 per i movimenti del portafoglio — non ha impedito l'esfiltrazione. La patch era stata scritta il 3 agosto 2026 ma il merge è avvenuto il 1° settembre, cinque giorni prima dell'attacco. La fonte non specifica i motivi di questo ritardo nella pubblicazione della release.

Cosa fare adesso

Per gli operatori che gestiscono nodi Elements: la patch nel commit c26d719c29a40da280a825b25657e9c3d8bc7d99 è disponibile nel repository ufficiale. La fonte non specifica procedure di verifica aggiuntive oltre all'applicazione della patch su tutti i nodi.

Per gli utenti che detengono L-BTC: Liquid Network ha sospeso le operazioni; gli exchange hanno interrotto depositi e prelievi. La fonte non specifica tempistiche di ripristino o azioni utente richieste.

Per i ricercatori di sicurezza: il caso presenta una discrepanza non risolta tra fonti sulla restituzione dei fondi e un'identità degli aggressori non verificata. La fonte non specifica framework di responsible disclosure applicabili.

Domande frequenti

Perché gli aggressori hanno promesso di restituire i fondi?

Secondo i messaggi on-chain citati da The Register e The Cyber Express, gli aggressori hanno condizionato la promessa di restituzione alla verifica che "ogni nodo sia patchato". La fonte non specifica il motivo ultimo di questa condizione.

Il PAK è stato compromesso?

No. Liquid Network ha dichiarato esplicitamente che "la PAK non è stata compromessa". SideSwap ha confermato che i propri sistemi non sono stati violati.

La blockchain di Bitcoin è a rischio?

No. L'attacco ha colpito esclusivamente la sidechain Liquid Network. Bitcoin main chain non ha subito impatti.

Chi sono gli aggressori?

Identità non verificata. Si sono autodefiniti "white hat" ma Liquid Network usa il qualificativo "presunto" e il CTO di Ledger esprime scetticismo.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://siliconangle.com/2026/09/07/hackers-steal-320m-in-bitcoin-from-liquid-network-return-most-of-it-after-patch/
• https://www.theregister.com/security/2026/09/07/hackers-drain-320m-in-bitcoin-from-liquid-network-claim-theyre-the-good-guys/5294770
• https://shattered.io/liquid-network-320-million-hack-2026/
• https://yellow.com/011.htm/news/liquid-network-320m-btc-standoff
• https://forklog.com/en/unknown-actors-withdraw-320m-in-bitcoin-from-liquid-network/
• https://thecyberexpress.com/liquid-network-security-incident/
• https://github.com/ElementsProject/elements/commit/c26d719c29a40da280a825b25657e9c3d8bc7d99
• https://siliconangle.com/2026/09/05/post-quantum-digicert-readiness-day-thecube-digicertworldquantumreadinessday/
• https://thecyberexpress.com/about-us/
• https://thecyberexpress.com/contact-us/