Liquid Network torna operativa dopo un attacco da 320 milioni di dollari

In data 10 settembre 2026 Liquid Network ha ripreso la generazione dei blocchi dopo una sospensione tecnica di quattro giorni legata a un incidente di sicurezza stimato in 320 milioni di dollari. Il riavvio è avvenuto alle 12:26 UTC, completati gli aggiornamenti dei nodi federati: i validatori stanno firmando blocchi vuoti mentre viene monitorata la stabilità del sistema. Per cautela, depositi e prelievi restano disabilitati e le funzionalità di conversione rimarranno congelate finché non sarà completato il ripristino integrale delle riserve in Bitcoin. La violazione è stata individuata il 6 settembre 2026 al blocco 4.050.336. Una vulnerabilità nel codice open source Elements ha permesso a un attaccante di coniare senza copertura quasi 4.000 unità di Liquid Bitcoin (LBTC) e di effettuare un prelievo di 3.996 BTC, utilizzando il servizio di scambio SideSwap tramite una pegout authorization key (PAK). I nodi della federazione hanno validato l’operazione perché il difetto si manifestava a monte della fase di validazione pre-transazione. Nel giro di minuti, il saldo del wallet multisig della federazione è crollato da 4.205 BTC a 197 BTC. I report tecnici indicano che nessuna delle chiavi private dei 15 membri della federazione è stata compromessa. Durante lo stop forzato non sono stati colpiti altri asset emessi sulla rete, tra cui la stablecoin Tether (USDT) e vari token di real world asset (RWA). SideSwap ha pubblicato un post-mortem dettagliato il 9 settembre 2026, ammettendo carenze operative: la PAK risultava mantenuta connessa a internet e mancavano controlli automatici di velocità o soglie di volume per wallet. Sul fronte del recupero, l’attaccante ha restituito 3.400 BTC all’indirizzo multisig della rete il 7 settembre 2026, qualificandosi come ricercatore di sicurezza tramite messaggi on-chain. Restano non recuperati 598,5 BTC, per un valore stimato di circa 47 milioni di dollari. Il soggetto ha richiesto un premio del 10% per restituire il saldo residuo; Blockstream non ha classificato ufficialmente la richiesta come parte di un programma di bug bounty autorizzato. La federazione ha distribuito la patch d’emergenza Elements v23.3.4 il 9 settembre 2026. L’intervento ha riguardato la gestione delle cache key nei range proof, dopo verifiche con società specializzate tra cui Bitcoin Red Team e Alpen Labs. Il CEO di Blockstream, Adam Back, ha dichiarato pubblicamente che il peg 1:1 tra LBTC e BTC sarà interamente coperto; secondo analisti di mercato, il supporto istituzionale potrebbe limitare il rischio di vendite dettate dal panico sui desk over-the-counter (OTC). La roadmap di ripristino prevede tre fasi consecutive: avvio di blocchi controllati, riesecuzione delle transazioni legittime già verificate, riattivazione dei peg una volta messe in sicurezza tutte le riserve. Il prossimo passaggio formale annunciato dalla federazione sarà la pubblicazione di un audit tecnico completo sull’incidente, insieme al completamento degli stress test prima della riapertura totale dei bridge di liquidità.