Supostos hackers white hat retiraram cerca de 4 mil Bitcoin das reservas da Liquid Network, uma sidechain federada criada pela Blockstream. A movimentação envolveu 4.019,4 BTC, avaliados em cerca de US$ 320 milhões no momento da transação. Os responsáveis afirmaram que pretendiam devolver os recursos após estabelecer contato. Em resposta, a rede desativou nós de ponte e pausou operações ligadas à sidechain.

A Liquid Network informou que outros ativos emitidos na rede não sofreram impactos. Entre eles estão USDT, DePix e ativos do mundo real, conhecidos como RWAs. Ainda assim, o incidente provocou restrições aos depósitos e saques de L-BTC. Por isso, usuários e plataformas aguardam novas orientações sobre o funcionamento da rede.

Outros ativos emitidos, incluindo USDT, DePix e RWAs, não foram afetados.

Liquid Network no X

Reservas de Bitcoin da Liquid Network

A Liquid funciona como uma sidechain federada do Bitcoin e emite ativos como o L-BTC. Esse ativo possui lastro em BTC mantidos na rede principal por meio de uma grande carteira multisig. Antes da retirada, a tesouraria reunia mais de 4.200 BTC. Depois do incidente, a página de prova de reservas indicava pouco mais de 207 BTC.

A federação reúne 15 membros corporativos conhecidos. Para movimentar recursos da tesouraria, 11 dos 15 participantes precisam assinar uma transação multisig válida. Esse modelo distribui a autorização entre diferentes integrantes da federação. Contudo, a retirada conseguiu cumprir os requisitos exigidos pelo sistema.

Os responsáveis retiraram 4.019,4 BTC do endereço de reserva por meio de uma transação de peg-out. Eles utilizaram a chave de autorização de peg-out da SideSwap, plataforma de ponte e integrante da federação. Dessa maneira, a operação liberou os BTC mantidos pela rede. Os detalhes sobre o comprometimento da chave ainda não receberam confirmação.

Possível falha de inflação no L-BTC

Os aspectos técnicos do ataque permanecem sob investigação. Mesmo assim, os indícios apontam para a exploração de uma possível falha de inflação na sidechain do L-BTC. Nesse cenário, os hackers teriam criado mais de 4 mil L-BTC sem lastro. Depois, teriam trocado esse saldo por Bitcoin on-chain das reservas.

Se a hipótese estiver correta, a transação pareceu válida para os mecanismos de consenso. Com isso, os servidores de segurança HSM dos membros da federação assinaram a retirada. A operação liberou Bitcoin avaliado em aproximadamente US$ 320 milhões. Em seguida, os invasores enviaram os recursos para um endereço terminado em 6gyqjlte.

Logo depois, esse endereço originou outra transação com uma mensagem no campo de dados arbitrários OP_RETURN. O texto dizia: “Somos white hats. Entrem em contato conosco on-chain”. No momento da publicação, o saldo principal permanecia no endereço informado. A mensagem indicava uma possível intenção de negociar a devolução.

Posteriormente, uma pequena transação na rede principal solicitou contato pelo endereço security@blockstream.com. A origem da mensagem parecia estar vinculada a um endereço público da Blockstream, embora não houvesse confirmação. Mais tarde, outro gasto com OP_RETURN indicou contato pelo Signal em “@m671aw.70”. Porém, essa segunda mensagem pode ser apenas spam.

Usuários de L-BTC enfrentam incerteza

Após a violação, exchanges receberam orientação para pausar depósitos e saques de L-BTC. Enquanto isso, os nós de ponte da Liquid permanecem paralisados, o que limita o acesso à sidechain. Apesar das restrições, a rede continua produzindo blocos. O funcionamento do Bitcoin na rede principal não sofreu interrupções.

Samson Mow, CEO da JAN3, afirmou que o incidente afetou os recursos da Liquid disponíveis na Aqua. Contudo, ele destacou que o Bitcoin on-chain continuava funcionando normalmente. Outras carteiras que utilizam a Liquid Network também podem enfrentar efeitos semelhantes. A extensão desses impactos ainda depende da exposição de cada serviço ao L-BTC.

Os recursos da Liquid no Aqua foram afetados. O Bitcoin on-chain continua funcionando.

Samson Mow no X

Os detentores de L-BTC agora enfrentam riscos porque a reserva não oferece BTC suficiente para resgatar todo o saldo emitido. Além do mais, os recursos de privacidade da Liquid limitam os dados públicos sobre a distribuição do L-BTC. Assim, não está claro quanto pertence a usuários de varejo ou a empresas. Caso os recursos não retornem, o episódio poderá afetar significativamente a base de usuários da rede.

Neste momento, os detentores de L-BTC dependem do desfecho das negociações com os responsáveis. Pelo tamanho da retirada, pode ser difícil movimentar ou liquidar todo o Bitcoin sem chamar atenção. Ainda assim, não há garantia de recuperação dos recursos. Uma possibilidade envolve o pagamento de uma recompensa pela descoberta da falha e a devolução da maior parte do saldo.