Liquid Network retoma produção de blocos após exploit de US$ 320 milhões em BTC

A Liquid Network, principal sidechain de Bitcoin da Blockstream, voltou a produzir blocos em 10 de setembro, depois de um exploit ocorrido quatro dias antes ter esvaziado cerca de 3.996 BTC da carteira de reserva da federação. No momento do incidente, o montante era estimado em aproximadamente US$ 320 milhões. A rede voltou a operar no nível técnico, mas transações de usuários e as operações de peg — mecanismo que permite entrar e sair com BTC da sidechain — seguem suspensas enquanto o processo de recuperação continua. O que ocorreu Em 6 de setembro, no bloco 4.050.336 da Liquid, um atacante explorou uma vulnerabilidade no software Elements, base do funcionamento da rede. A falha permitiu a criação de aproximadamente 4.000 tokens LBTC sem lastro, apesar de esses ativos terem como premissa a paridade de 1:1 com bitcoins mantidos na carteira de reserva da federação. Em seguida, os tokens não lastreados foram usados para drenar os fundos. Antes do exploit, a Liquid Federation mantinha mais de 4.200 BTC. Depois, a carteira passou a conter cerca de 197 BTC — uma queda de 95% em um único evento. Em 7 de setembro, os atacantes — ou agentes que se apresentaram como hackers whitehat — devolveram aproximadamente 3.400 BTC à federação. Eles retiveram 598,5 BTC, descritos como uma espécie de recompensa (bounty) por revelar a vulnerabilidade. Correções emergenciais e retomada controlada A equipe da Blockstream implementou atualizações emergenciais de software, incluindo o Elements v23.3.4, para corrigir a falha que viabilizou o exploit. A produção de blocos foi retomada em 10 de setembro, com a rede operando em um modo descrito como controlado. Adam Back, CEO da Blockstream, afirmou que a paridade de 1:1 entre LBTC e BTC será mantida. Ele também disse que nenhuma chave de autorização da federação foi comprometida, indicando que se tratou de um exploit em nível de software, e não de um ataque à infraestrutura de assinatura da federação. Ainda assim, a manutenção do bloqueio de transações e do peg impõe fricção relevante. Quem detém LBTC neste momento não consegue resgatar o ativo por bitcoin, e novos depósitos também não podem ser realizados. Modelo federado volta ao centro do debate A Liquid ocupa um espaço particular no ecossistema do Bitcoin. Não é uma solução de camada 2 sem confiança (trustless) como a Lightning Network; depende de uma federação com cerca de 60 membros para custodiar recursos e produzir blocos. A vulnerabilidade não esteve no modelo de custódia federada em si, já que as chaves não foram violadas, mas no software de código aberto Elements, que sustenta a rede. Na prática, o efeito foi semelhante: quase todo o bitcoin que lastreava a sidechain desapareceu em uma única operação. A devolução rápida de 3.400 BTC pelos supostos whitehats evitou uma possível crise severa de confiança. Mesmo assim, a federação segue com um déficit de 598,5 BTC em relação ao nível anterior ao incidente, e os usuários permanecem em compasso de espera até a retomada das operações de peg.