Cofundador da Rootstock defende saques com atraso em pontes de Bitcoin após incidente na Liquid Network

Após um episódio de saque não autorizado na Liquid Network, Sergio Lerner, cofundador e cientista-chefe da Rootstock, passou a defender que pontes cross-chain de Bitcoin adotem "saques com atraso" como mecanismo obrigatório, em vez de liberar recursos imediatamente após a verificação por software. Em declaração ao crypto.news, Lerner afirmou que, sem um bloqueio temporal no sistema da ponte, um único erro de verificação pode resultar em perda total instantânea, deixando quase nenhum tempo para reação dos operadores. Segundo ele, um atraso criaria uma janela de algumas horas para que sistemas de monitoramento e intervenção humana identifiquem anomalias e interrompam o processo antes da transferência efetiva de BTC. O incidente na Liquid evidenciou os riscos do modelo de liberação imediata. A fala ocorreu depois de uma saída atípica de fundos da carteira da Liquid Federation. Relatos indicam que alguém criou LBTC sem colateral suficiente e, em seguida, iniciou um saque via serviço de pegout da SideSwap, culminando na transferência de quase 4.000 BTC da carteira da Liquid Federation. A Liquid descreveu os envolvidos como os chamados "whitehat hackers". A SideSwap disse que o sistema processou a solicitação dentro dos procedimentos padrão, já que esses LBTC pareciam indistinguíveis de tokens normalmente colateralizados. Cerca de 23 minutos depois, a carteira da federação enviou 3.996 BTC para o endereço de Bitcoin indicado. Até o momento, 3.400 BTC foram devolvidos. A Blockstream confirmou que os nós da ponte afetados já receberam correções, mas aproximadamente 598 BTC seguem sem recuperação. Em 10 de setembro, a Liquid retomou a produção de blocos, mas a recuperação de transações e as operações de peg ainda não foram reiniciadas. Para Lerner, se houvesse uma espera obrigatória entre a criação de LBTC sem colateral e a liberação de BTC real, as perdas poderiam ter sido significativamente menores. Nesse desenho, após a verificação por software, o saque não seria concluído na hora: entraria em uma fase de espera. Durante esse período, ferramentas automáticas checariam se os pedidos de pegout são compatíveis com as reservas de BTC que lastreiam o LBTC. Ao detectar divergência entre a oferta de tokens e os ativos em colateral, operadores poderiam pausar os saques antes da aplicação de assinaturas por hardware, evitando a saída imediata de BTC da carteira da federação. A Rootstock já adota uma espera de 36 horas. Lerner explicou que o two-way peg da rede usa um conceito semelhante: módulos dedicados de segurança de hardware, os PowHSMs, verificam de forma independente a passagem de 4.000 blocos da Rootstock — cerca de 36 horas de proof-of-work acumulado — antes de assinar saques em BTC. Segundo ele, a chave privada permanece sempre dentro do dispositivo, e nós de função não conseguem solicitar ao hardware que ignore o período de espera. Mesmo que a maioria dos participantes de assinatura conspire, no máximo consegue atrasar o saque, mas não forçar uma transferência antecipada do BTC subjacente. O BIP443 ainda está em estágio de rascunho. Lerner observou que os mecanismos atuais de segurança da Rootstock seguem baseados em HSMs e em uma arquitetura federada, e não são impostos diretamente pelo consenso da mainnet do Bitcoin. Ele disse que, caso uma solução nativa de vault no Bitcoin seja implementada no futuro, controles similares poderiam ser codificados no protocolo. Como exemplo, citou o BIP443, que propõe um opcode chamado OP_CCV, permitindo que saídas de Bitcoin carreguem restrições e limitem como os fundos poderão ser movidos posteriormente. Entre os casos de uso previstos estão sidechains, saídas com estado e estruturas revogáveis de saque em duas etapas.