Liquid, peg-out da 320 milioni: come sono usciti 4.000 BTC senza furto di chiavi

Liquid Network ha sospeso l’attività del bridge dopo l’uscita di circa 4.000 BTC — valutati all’epoca intorno a 320 milioni di dollari — dal wallet federato che garantisce L-BTC. Il prelievo equivaleva a circa il 95% della riserva riportata. Le ricostruzioni disponibili puntano a un presunto difetto di inflazione nel software Elements, non al furto di chiavi di autorizzazione della federazione o di SideSwap; i dettagli tecnici pubblici restano però incompleti. 413

La dinamica riportata

La sequenza descritta dalle fonti è lineare, anche se la vulnerabilità non è stata ancora illustrata pubblicamente in ogni suo aspetto:

1. Un soggetto avrebbe creato L-BTC non garantiti da BTC bloccati, sfruttando un difetto di Elements.
2. Quegli L-BTC sarebbero stati inviati al normale servizio di peg-out per clienti di SideSwap.
3. Il peg-out avrebbe usato la legittima Peg-out Authorization Key (PAK) di SideSwap, che Liquid e SideSwap affermano non essere stata compromessa.
4. L’infrastruttura della federazione Liquid avrebbe quindi autorizzato il prelievo sulla rete Bitcoin: le segnalazioni parlano di circa 3.996 BTC erogati, per un totale vicino a 4.000 BTC. 26

In sostanza, il problema segnalato non sarebbe il furto delle chiavi che controllano la riserva. Sarebbe invece il fatto che una richiesta di riscatto ha apparentemente superato i controlli di autorizzazione pur basandosi su L-BTC senza una copertura economica valida.

Perché gli HSM hanno potuto firmare senza compromissione delle chiavi

Liquid adotta un modello di Strong Federation: i membri della federazione gestiscono collettivamente la sidechain e controllano la riserva in BTC tramite firme a soglia. La documentazione tecnica di Liquid definisce il suo modello di consenso proprio come Strong Federations.

Gli HSM (hardware security module) custodiscono le chiavi di firma e applicano le policy configurate. Non sono però un revisore indipendente di tutta la storia economica di un asset. Se una richiesta di peg-out presenta elementi che il sistema riconosce come validi, compreso un percorso di autorizzazione valido, gli HSM possono firmare senza che una chiave privata sia mai stata sottratta.

Questa è la distinzione centrale emersa nell’incidente:

• Autorizzazione: il peg-out sarebbe stato processato con la PAK legittima di SideSwap.
• Provenienza e copertura: gli L-BTC presentati per il riscatto sarebbero stati creati da un bug di Elements, invece che mediante la normale emissione garantita da BTC. 2

SideSwap ha dichiarato che il peg-out di circa 4.000 BTC è transitato dal proprio servizio come ordine di un cliente, che la sua PAK non è stata compromessa e che gli L-BTC provenivano da un bug di Elements, non dai sistemi di SideSwap.

L’implicazione non è quindi un fallimento della crittografia delle firme a soglia o degli HSM. Un difetto condiviso nel software di validazione o di emissione può portare firmatari automatici perfettamente funzionanti ad approvare un prelievo che non avrebbe mai dovuto essere idoneo. Una firma valida prova che è stata rispettata la policy di firma; non dimostra, da sola, che l’asset riscattato fosse correttamente coperto.

Sono davvero «white hat»?

Gli autori hanno allegato a una transazione un messaggio on-chain: “we are whitehats. contact us on chain”. 16

Le notizie indicano inoltre che Blockstream/Liquid abbia contattato i soggetti tramite messaggi on-chain firmati e che questi abbiano offerto di restituire «la maggior parte» dei fondi dopo la correzione della vulnerabilità su tutta la rete. 418

Questi elementi dimostrano solo che gli autori hanno rivendicato una motivazione da ricercatori di sicurezza e hanno lasciato un canale di comunicazione. Non dimostrano in modo indipendente che siano white hat. Al momento delle segnalazioni non risultavano né fondi restituiti, né una patch pubblica, né la riapertura della rete. 13

La definizione più accurata rimane dunque presunti white hat. Non dovrebbe essere trattata come un fatto accertato finché restituzione dei fondi, dettagli dell’exploit e rimedio non saranno verificati in modo indipendente.

La risposta di Liquid, SideSwap ed exchange

Liquid ha disabilitato i nodi del bridge e sospeso le operazioni, interrompendo il normale passaggio di fondi tra Bitcoin e Liquid. Gli exchange sono stati avvisati di sospendere, o prepararsi a sospendere, depositi e prelievi di L-BTC. 48

SideSwap ha dichiarato di aver messo in pausa peg-in e peg-out finché Liquid resta sospesa.

Sono misure di contenimento: riducono ulteriori movimenti sul bridge mentre gli operatori esaminano la vulnerabilità segnalata, valutano la posizione della riserva e stabiliscono le condizioni per un riavvio sicuro. Il piano di recupero riportato dipendeva dalla correzione del difetto, dall’aggiornamento dei nodi coinvolti e dalla definizione dello stato dei BTC prelevati. 1318

Cosa cambia per chi detiene L-BTC

L-BTC è pensato per rappresentare Bitcoin su Liquid, ma la sua equivalenza pratica con BTC prontamente riscattabili dipende dall’operatività del bridge e dalla credibilità della sua copertura.

Con circa 4.000 BTC usciti da una riserva riportata di circa 4.200 BTC e il bridge in pausa, il normale riscatto degli L-BTC è stato interrotto e il potenziale squilibrio della riserva è diventato il problema immediato per i detentori. 313

Questo non stabilisce l’esito finale del recupero. Significa però che, durante l’incidente, detenere L-BTC non equivaleva operativamente a detenere BTC liberamente prelevabili sul layer base di Bitcoin. L’esito dipenderà dal recupero dei fondi, dalla correzione del presunto bug, dalle decisioni della federazione e dalle policy dei fornitori di servizi.

Gli altri asset emessi su Liquid

Gli altri asset su Liquid non vengono automaticamente sottratti alle riserve dei rispettivi emittenti solo perché BTC sono usciti dal wallet della federazione. Liquid ha dichiarato che asset come USDT, DePix e RWA non sono stati colpiti direttamente dall’incidente.

«Non colpiti» non significa però «privi di rischi». La sospensione della rete può incidere su accesso ai wallet, supporto degli exchange, liquidità, disponibilità delle transazioni e uso di L-BTC quale asset per le commissioni e il bridge. La garanzia diretta di ogni asset continua a dipendere dal suo emittente e dalla relativa custodia; la sua utilizzabilità operativa dipende invece dal ritorno alla normalità dell’infrastruttura Liquid.

La lezione architetturale: federazione contro bridge in stile BitVM

L’architettura attuale di Liquid si fonda su una federazione nota e autorizzata, che controlla la riserva Bitcoin tramite firme a soglia. È diverso da un modello in cui il consenso di Bitcoin verifica direttamente che ogni riscatto sia coperto.

Peg federato attuale	Direzione proposta in stile BitVM 1-of-n
Una federazione fissa controlla la riserva BTC con firme a soglia.	Blockstream la descrive come iniziativa di ricerca di lungo periodo, non come sostituzione già operativa di Liquid.
La sicurezza dipende dalla protezione delle chiavi, dall’operatività dei firmatari e dalla correttezza del software condiviso di validazione e policy.	L’obiettivo è ridurre le assunzioni di fiducia rispetto ai tradizionali modelli a firme di soglia.
Un difetto software comune può potenzialmente indurre tutti i firmatari automatici ad accettare la stessa interpretazione errata.	I sistemi in stile BitVM usano verifica ottimistica e meccanismi di contestazione; la sicurezza dipende dal protocollo corretto e da almeno un soggetto onesto e attivo che contesti l’operazione.

Un modello in stile BitVM non elimina il rischio dei bridge: lo trasferisce su presupposti differenti. I soggetti che controllano e contestano devono poter agire, il processo delle prove di frode deve essere corretto e i prelievi possono essere più complessi o lenti. La ricerca sui bridge basati su BitVM descrive un modello di sicurezza che richiede almeno un partecipante onesto; BitVM2 punta inoltre a permettere a chiunque di contestare un’asserzione non valida durante l’esecuzione.

Se il meccanismo riportato verrà confermato, l’episodio Liquid mostra perché la differenza conta: una federazione a soglia può resistere al furto delle chiavi ma restare esposta se tutti i firmatari si affidano alla stessa errata interpretazione software della validità di un asset da riscattare.

In sintesi

L’episodio Liquid da circa 320 milioni di dollari appare come una crisi di validazione del bridge, non come un convenzionale furto di chiavi private. Un lotto di L-BTC presumibilmente non coperto avrebbe seguito un percorso di peg-out autorizzato, inducendo la federazione a rilasciare BTC reali. 24

Restano domande decisive: la vulnerabilità esatta di Elements, la posizione finale della riserva e della copertura di L-BTC, l’eventuale restituzione dei fondi e i controlli necessari prima di riattivare il bridge. Finché queste risposte non saranno verificate pubblicamente, l’episodio va considerato irrisolto, non una disclosure white-hat conclusa né una normale interruzione di servizio.