Liquid Network retoma operações após falha de segurança de US$ 320 milhões

A Liquid Network voltou a produzir blocos nesta quinta-feira, 10 de setembro de 2026, após uma paralisação técnica de quatro dias causada por um incidente de segurança estimado em US$ 320 milhões. A retomada ocorre de forma controlada: a rede passou a assinar blocos vazios e segue com depósitos e saques desativados, sem reabrir transações comerciais para usuários finais. Segundo atualização da federação, a reativação aconteceu às 12:26 UTC, depois da conclusão das atualizações nos nós federados. Os validadores iniciaram a assinatura de blocos sem transações enquanto a estabilidade do sistema é monitorada. Recursos de conversão permanecem congelados até que a recomposição total das reservas em Bitcoin seja concluída. O problema foi detectado em 6 de setembro de 2026, no bloco 4.050.336. Uma vulnerabilidade no código aberto do Elements permitiu a emissão sem lastro de quase 4.000 unidades de Liquid Bitcoin (LBTC) e a retirada de 3.996 BTC no mesmo dia. Os fundos sintéticos foram encaminhados via SideSwap utilizando uma pegout authorization key (PAK). Como a falha ocorria antes da etapa de validação de transações, os nós da federação acabaram aprovando a operação. Durante o ataque, o saldo da carteira multisig federada caiu de 4.205 BTC para 197 BTC em poucos minutos. Relatórios técnicos indicam que nenhuma das chaves privadas dos 15 membros da federação foi comprometida. Outros ativos emitidos na rede, como o Tether (USDT) e diversos tokens de realworld asset (RWA), não foram afetados durante a interrupção. A SideSwap publicou em 9 de setembro de 2026 um post-mortem detalhado, atribuindo o ocorrido a falhas operacionais. A plataforma mantinha a chave PAK conectada à internet e não contava com controles automatizados de velocidade nem limites de volume por carteira. No plano de recuperação e recomposição do lastro, o invasor devolveu 3.400 BTC ao endereço multisig da rede em 7 de setembro de 2026, identificando-se como pesquisador de segurança por mensagens on-chain. Até o momento, 598,5 BTC —avaliados em cerca de US$ 47 milhões— seguem sem recuperação. O responsável exigiu o pagamento de uma recompensa de 10% para devolver o saldo restante, demanda que a Blockstream ainda não reconheceu oficialmente como parte de um programa autorizado de bug bounty. A federação implementou o patch emergencial Elements v23.3.4 em 9 de setembro de 2026. A correção ajusta a gestão de cache keys em range proofs após auditorias conjuntas com empresas especializadas, incluindo Bitcoin Red Team e Alpen Labs. O CEO da Blockstream, Adam Back, afirmou publicamente que a paridade 1:1 entre LBTC e BTC será integralmente coberta. Analistas avaliam que esse suporte institucional pode reduzir o risco de vendas em pânico no mercado de balcão (OTC). O roteiro de retomada prevê três etapas: (1) geração de blocos sob controle; (2) reexecução de transações legítimas previamente verificadas; e (3) reativação dos pegs somente após a plena garantia dos fundos de reserva. O próximo comunicado formal da federação deve incluir uma auditoria técnica abrangente do incidente e a conclusão de testes de estresse antes da reabertura completa das pontes de liquidez.