Il bug che ha permesso il furto di $320 milioni in bitcoin da Liquid Network, la sidechain di Blockstream, era già stato corretto nel codice sorgente prima dell’attacco del 6 settembre 2026 — ma quella patch non è mai arrivata su una versione ufficiale in uso dai nodi della federazione. È quanto emerge dall’analisi tecnica pubblicata da Chainalysis il 9 settembre, che per la prima volta ricostruisce nel dettaglio la causa della falla dietro la vicenda seguita da BitcoinLive24 fin dal primo giorno. Restano ancora fuori dal recupero circa $47 milioni.
Liquid Network: il Recap del 6 Settembre
Il 6 settembre 2026 ignoti hanno sfruttato una falla nel software Elements — il codice open source su cui gira Liquid Network — per coniare circa 3.996 BTC (~$320 milioni) di L-BTC non garantiti, la versione “wrapped” di bitcoin che circola sulla sidechain. I fondi sono stati convertiti in bitcoin reali attraverso il meccanismo di peg-out, completato alle 14:28 UTC secondo la ricostruzione di crypto.news, prosciugando circa il 95% della riserva della sidechain. Come raccontato nella nostra cronaca di quei giorni, gli autori dell’attacco si sono presentati come “whitehat” e hanno negoziato pubblicamente la restituzione dei fondi tramite messaggi inseriti nel campo OP_RETURN delle transazioni Bitcoin.
La Causa Tecnica: il Bug nella Cache delle Prove
Il software Elements, su cui gira Liquid Network dal lancio della sidechain nel 2018, verifica ogni transazione confidenziale tramite range proof (le prove crittografiche che dimostrano la validità di un importo senza rivelarne il valore). Per motivi di performance, il software salva in cache l’esito di queste verifiche. Secondo la ricostruzione di crypto.news, la chiave usata per identificare ogni voce della cache veniva calcolata solo dai byte della prova e dall’importo nascosto, senza includere il tipo di asset né lo script di destinazione. Un attaccante poteva quindi far sì che una transazione non valida “puntasse” a un risultato già verificato e salvato in cache per un contesto diverso, ottenendo l’approvazione senza un controllo effettivo.
La Patch Esisteva Già: la Timeline che Cambia la Storia
La parte più sorprendente della ricostruzione riguarda le tempistiche: la correzione del bug di caching era stata scritta e committata nel repository di Elements il 3 agosto 2026, oltre un mese prima dell’attacco. Secondo crypto.news, la patch è stata unita al branch principale (master) il 2 settembre — quattro giorni prima del furto — ma non è mai comparsa in una release taggata ufficialmente. I nodi della federazione che hanno validato le transazioni fraudolente eseguivano ancora la versione 23.3.3, rilasciata il 13 aprile 2026, mesi prima che il fix venisse anche solo scritto.
| Data | Evento |
|---|---|
| 13 aprile 2026 | Rilasciata la versione 23.3.3 di Elements, rimasta in uso sui nodi della federazione fino all’attacco |
| 3 agosto 2026 | La correzione del bug di caching viene scritta e committata nel repository |
| 2 settembre 2026 | La patch viene unita al branch master, senza però una release taggata |
| 6 settembre 2026 | Attacco: mint di ~4.000 L-BTC non garantiti, peg-out completato alle 14:28 UTC |
| 7-8 settembre 2026 | Trattativa pubblica via OP_RETURN, restituiti 3.398 BTC (85% del totale) |
| 9 settembre 2026 | Chainalysis pubblica l’analisi tecnica completa della falla |
Liquid Network: Recupero Fondi, 3.398 BTC Restituiti
Dei circa 3.996 BTC sottratti, 3.398 BTC (l’85% del totale) sono stati restituiti dagli autori dell’attacco nell’ambito della trattativa pubblica via OP_RETURN, mentre in parallelo Blockstream distribuiva la patch aggiornata per chiudere la falla e impedire ulteriori exploit, secondo quanto riportato da Chainalysis. Restano fuori dalla riserva 598 BTC, pari a circa $47 milioni al cambio corrente, senza al momento conferma pubblica sulla loro destinazione. Come avevamo raccontato nel nostro aggiornamento dell’8 settembre, la rete era rimasta ferma in attesa del completamento del recupero: la ripartenza dipende ora anche dalla verifica che la nuova versione del software, con la patch finalmente distribuita, sia installata su tutti i nodi della federazione.
Cosa Significa per la Fiducia nelle Sidechain Bitcoin
L’episodio non riguarda una debolezza della blockchain di Bitcoin in sé, ma del codice della sidechain Liquid e del suo processo di distribuzione degli aggiornamenti: la firma multisig 11-di-15 della federazione ha funzionato correttamente, approvando una transazione che — secondo le regole del software in esecuzione — appariva valida. Il caso solleva una domanda più ampia per l’intero ecosistema delle sidechain e dei layer 2 di Bitcoin: quanto rapidamente vengono distribuite le patch di sicurezza una volta scritte, e chi verifica che i nodi in produzione eseguano davvero l’ultima versione disponibile. BitcoinLive24 continuerà a seguire gli sviluppi della vicenda, inclusa la sorte dei $47 milioni ancora fuori dalla riserva: per un aggiornamento in tempo reale ogni volta che succede qualcosa su Bitcoin, scarica l’app BitcoinLive24.
Domande Frequenti
Cos’è Liquid Network?
Liquid Network è una sidechain di Bitcoin sviluppata da Blockstream, pensata per trasferimenti più veloci e confidenziali tra exchange e istituzioni tramite un token “wrapped” chiamato L-BTC, garantito 1:1 da bitcoin reali depositati in una riserva controllata da una federazione di validatori.
Quanti bitcoin sono stati rubati nell’attacco del 6 settembre?
Circa 3.996 BTC (~$320 milioni) sono stati sottratti alla riserva di Liquid Network; di questi 3.398 BTC (85%) sono stati restituiti, mentre 598 BTC (~$47 milioni) restano fuori dal recupero.
Qual è stata la causa tecnica del bug?
Un difetto nel sistema di cache che il software Elements usa per verificare le range proof delle transazioni confidenziali: la chiave della cache non includeva il tipo di asset né lo script di destinazione, permettendo di far approvare una transazione non valida sfruttando un risultato già verificato in un contesto diverso.
Perché la patch non ha impedito l’attacco se esisteva già?
Perché non era mai stata inclusa in una release ufficiale taggata: i nodi della federazione eseguivano ancora la versione 23.3.3 di aprile 2026, mentre il fix era stato scritto il 3 agosto e unito al codice principale solo il 2 settembre, senza una distribuzione formale ai nodi in produzione.
Liquid Network è di nuovo operativa?
Al momento della stesura la rete resta in fase di ripartenza controllata, con Blockstream che ha distribuito la versione corretta del software: BitcoinLive24 aggiornerà la copertura non appena la riserva tornerà pienamente operativa.
Disclaimer: questo articolo ha scopo informativo e non costituisce consulenza finanziaria. I dati citati sono aggiornati al momento della stesura sulla base delle fonti indicate e possono cambiare rapidamente.
