Liquid Network drenado em US$ 320 milhões por exploração de bug de cache

Um bug de cache de range proof no código do Elements permitiu que um ator desconhecido cunhasse L-BTC sem lastro, drenasse 95% da reserva da federação através do SideSwap e depois negociasse sua devolução na cadeia via mensagens OP_RETURN. A rede permanece congelada, 598,5 BTC estão na carteira do atacante, e todo o modelo de sidechain federada enfrenta as perguntas mais difíceis que já teve que responder.

Domingos à tarde não deveriam parecer corridas bancárias. No entanto, em 6 de setembro de 2026, qualquer pessoa que observasse a carteira da federação da Liquid Network viu algo que se parecia muito com uma: 3.996 BTC saindo em uma única transação de peg-out às 14:28 UTC, colapsando a reserva de 4.205 BTC para 202 BTC em menos de meio minuto. Aos preços vigentes, isso era aproximadamente US$ 320 milhões. Desaparecidos.

O que se seguiu nas próximas 30 horas foi um dos episódios mais estranhos da história do Bitcoin. A pessoa ou grupo por trás da drenagem não desapareceu em um serviço de mixagem. Eles escreveram "somos whitehats. contate-nos na cadeia" em um campo OP_RETURN, abrindo uma negociação pública com a Blockstream que qualquer pessoa com um explorador de blocos poderia ler em tempo real. Nove mensagens foram trocadas. Uma chave PGP foi verificada. Os nós de ponte foram corrigidos. E então 3.400 BTC voltaram, deixando 598,5 BTC, cerca de US$ 47 milhões, em um endereço que ninguém controla exceto o atacante.

A mecânica do que aconteceu é técnica. As implicações não são. A Liquid é a sidechain mais antiga do Bitcoin, operada por uma federação de 15 funcionários executando módulos de segurança de hardware à prova de violação em um arranjo multisig 11-de-15. Ela processou bilhões em volume para exchanges, traders e emissores de ativos tokenizados desde seu lançamento em 2018. Agora suas reservas estão US$ 47 milhões menores, sua reputação está em terapia intensiva, e a questão mais ampla de se sidechains federadas podem ser confiáveis com dinheiro real está mais alta do que em qualquer momento nos últimos oito anos.

Como o bug de cache de range proof funcionou

Para entender a exploração, você precisa entender como a Liquid esconde os valores das transações. A Liquid usa transações confidenciais, um esquema criptográfico onde o valor em cada saída é escondido atrás de um compromisso de Pedersen. Range proofs verificam que o valor oculto está dentro de um intervalo permitido sem revelar qual é o valor real. Isso é computacionalmente caro, então o Elements, o fork do Bitcoin Core que alimenta a Liquid, armazena em cache resultados de verificação bem-sucedidos para reutilização.

O problema estava em como o cache armazenava esses resultados. Antes do patch, a chave do cache era derivada apenas dos bytes da prova e do valor oculto. O tipo de ativo e o contexto do scriptPubKey não eram incluídos. Isso significava que uma prova previamente verificada poderia ser reproduzida em um contexto onde não deveria ser válida.

O atacante explorou isso plantando 68 range proofs idênticos ao longo de 14 horas entre os blocos 4.049.384 e 4.050.246 da Liquid, gastando 41 satoshis por transação. Cada uma carregava uma saída OP_RETURN com L-BTC escrito claramente, mas o valor oculto, usando um compromisso com zero e a chave de ofuscação mais simples possível. Uma vez que essas provas foram armazenadas em cache, o atacante construiu uma saída inválida que correspondia à chave de cache de uma verificação anteriormente válida. Os nós da federação recuperaram o resultado em cache e pularam a verificação que deveria ter rejeitado a saída inflacionária.

No bloco 4.050.336 da Liquid, o atacante criou aproximadamente 3.996 L-BTC do nada. Esses tokens pareciam válidos para todos os funcionários da federação executando o código vulnerável. O atacante os enviou para o serviço de peg-out do SideSwap, que queimou os L-BTC e solicitou pagamento da federação. A federação atendeu, liberando 3.996,0183 BTC para o endereço Bitcoin do atacante.

A correção, que vincula a verificação de cache tanto ao tipo de ativo quanto ao scriptPubKey, foi commitada no branch master do Elements em 3 de agosto e mesclada em 2 de setembro. Mas nunca apareceu em um release com tag. Os nós da federação estavam executando a versão 23.3.3, datada de 13 de abril, que não incluía o patch. Mononaut, o desenvolvedor do mempool.space, observou que os funcionários da federação aceitaram as transações do exploit, aprovaram as retiradas e continuaram construindo blocos, enquanto outros nós executando código diferente rejeitaram completamente as transações inválidas.

DeFi perdeu mais de US$ 1,3 bilhão para hacks em 2026, com chaves privadas comprometidas superando bugs de contratos inteligentes como o principal vetor de ataque pela primeira vez na história. O exploit da Liquid não se encaixa perfeitamente em nenhuma das categorias. Nenhuma chave foi roubada. Nenhum contrato inteligente foi drenado. Uma otimização de cache na lógica de verificação de transações deixou uma lacuna grande o suficiente para alguém cunhar US$ 320 milhões.

Os 23 minutos que esvaziaram o cofre

O atacante não foi imprudente, e o registro on-chain mostra uma sequência metódica de teste que precedeu o evento principal em dois dias completos.

Em 4 de setembro, duas pequenas transações de peg-in totalizando 2,15 BTC entraram na Liquid. Dois dias depois, na manhã de 6 de setembro, três peg-outs de teste moveram 0,95, 1,71 e 0,55 BTC através da SideSwap entre 11:30 e 13:16 UTC. Cada uma foi concluída sem problemas. O mecanismo de peg-out funcionou. A federação assinou. BTC real chegou do outro lado.

Às 13:53 UTC, o evento principal: a transação de cunhagem criou aproximadamente 4.000 L-BTC sem lastro. Às 14:28:56 UTC, a federação processou o peg-out, liberando 3.996,0183 BTC. A SideSwap encaminhou 3.995,99999857 BTC para o endereço final do atacante no mesmo bloco. A taxa da SideSwap de 0,1%, aproximadamente 3,996 BTC, mais os três pagamentos de teste de 3,21 BTC combinados, foram o único atrito em toda a operação.

Da cunhagem ao peg-out até o recebimento, o tempo decorrido foi de aproximadamente 35 minutos. Do momento em que a federação assinou o peg-out até o momento em que o Bitcoin chegou ao atacante, foi um único bloco.

O precipício da reserva é visível em qualquer painel de análise de blockchain. A carteira da federação da Liquid detinha 4.205,29 BTC às 14:27 UTC. Um minuto depois, detinha 202,63 BTC. É a drenagem de reserva de transação única mais dramática na história das sidechains do Bitcoin.

Negociação on-chain: nove mensagens em OP_RETURN

O que aconteceu em seguida transformou um exploit catastrófico em algo mais próximo de uma negociação de reféns conduzida inteiramente em público.

Às 18:30 UTC de 6 de setembro, cerca de quatro horas após a drenagem, o atacante incorporou uma mensagem em uma transação Bitcoin: "somos whitehats. contatem-nos on-chain." A escolha do canal de comunicação foi deliberada. Mensagens OP_RETURN são permanentes, públicas e verificáveis. Nenhum dos lados pode falsificar a origem de uma mensagem enviada de um endereço que controlam.

Às 03:30 UTC de 7 de setembro, depois que a Liquid interrompeu a produção de blocos às 04:49 UTC, o atacante enviou uma mensagem mais longa: "Por favor, corrija o bug primeiro. A chain está sob risco no commit mais recente agora. Garanta que todos os nós estejam corrigidos. Então transferiremos o dinheiro de volta com segurança após confirmar a correção."

Isso não foi um pedido de resgate. Foi uma divulgação de segurança com US$ 320 milhões em garantia. O atacante queria prova de que a vulnerabilidade foi fechada antes de devolver fundos que teoricamente poderiam ser re-explorados por outra pessoa.

A Blockstream passou as horas seguintes corrigindo os nós da ponte em toda a federação. Às 09:04 UTC de 7 de setembro, a Blockstream enviou uma mensagem assinada com PGP: "Os nós da ponte foram corrigidos, é seguro devolver os fundos." A assinatura foi verificada contra a chave de segurança que termina em 6844 A2D6, publicada em blockstream.com/pgp.txt. No total, sete mensagens verificadas da Blockstream foram enviadas de endereços novos durante a negociação.

Às 16:09 UTC de 7 de setembro, a transação de retorno foi concluída: 3.400 BTC de volta ao endereço da federação. Os 598,5 BTC restantes permaneceram na carteira do atacante. A mensagem final OP_RETURN do atacante, enviada às 21:03 UTC, continha um único emoticon: ":("

Essa carinha triste se tornou um dos dois caracteres mais analisados na história do Bitcoin. Foi arrependimento por ter que ficar com qualquer quantia? Decepção por o bug existir em primeiro lugar? Um comentário sarcástico sobre o estado da segurança das sidechains? Ninguém sabe, e o atacante não se comunicou desde então.

A questão de US$ 47 milhões: recompensa ou roubo

Os 598,5 BTC que o atacante reteve valem aproximadamente US$ 47 milhões. Não havia um programa formal de recompensa por bugs cobrindo essa vulnerabilidade. Não havia contrato, acordo prévio ou estrutura legal que regesse a situação.

Os atacantes da Liquid se ofereceram para devolver a maior parte dos 4.000 BTC, e eles devolveram. Mas "a maior parte" está fazendo um trabalho pesado nessa frase. Ficar com 15% de uma exploração de US$ 320 milhões sem nenhum acordo prévio não é o que a maioria dos pesquisadores de segurança chamaria de comportamento padrão de white hat.

Charles Guillemet, CTO da Ledger, foi uma das primeiras vozes proeminentes a contestar o enquadramento de white hat. Seu argumento foi direto: white hats genuínos divulgam uma falha antes de mover centenas de milhões em garantias, não depois. Drenar 95% das reservas de uma rede e depois exigir uma correção antes de devolver qualquer coisa se assemelha mais a extorsão do que a pesquisa de segurança.

O contra-argumento, e não é um argumento fraco, é o seguinte: o atacante encontrou uma vulnerabilidade ativa que poderia ter sido explorada por um ator malicioso a qualquer momento. Ao drenar os fundos e mantê-los, ele impediu que um black hat fizesse o mesmo sem intenção de devolver nada. Os 598,5 BTC são uma compensação por um serviço prestado, não um resgate pago sob coação.

Ambas as posições têm precedentes. A exploração da Wormhole em 2022 viu o atacante ficar com US$ 320 milhões sem devolver nada. O hack da Euler Finance em 2023 resultou em devolução total após negociação on-chain. A exploração da ponte Ronin em 2022 viu atacantes patrocinados pelo estado do Grupo Lazarus da Coreia do Norte levar US$ 624 milhões sem nenhuma negociação. Nesse contexto, recuperar 85% em 30 horas parece um dos melhores resultados na história das explorações de criptomoedas.

A questão legal permanece em aberto. As leis de acesso não autorizado na maioria das jurisdições não incluem uma exceção de "boas intenções". Retirar fundos sem autorização e depois devolver a maior parte deles pode satisfazer a definição de roubo, independentemente do que o atacante escrever em um campo OP_RETURN. Se alguma agência de aplicação da lei irá processar o caso, dado que a maioria dos fundos foi devolvida, é uma questão totalmente diferente.

Por que os nós da federação executavam código sem correção

Esta é a parte da história que deveria preocupar qualquer pessoa que use um sistema federado.

A correção para o bug de cache de range-proof foi commitada no repositório Elements em 3 de agosto de 2026. Foi mesclada no branch principal em 2 de setembro. Quatro dias depois, a exploração aconteceu. Os nós da federação estavam executando a versão 23.3.3, lançada em 13 de abril, que antecedia a correção em quase cinco meses.

A lacuna entre "correção mesclada" e "correção implantada em produção" é um problema familiar na engenharia de software. Também é um problema que deveria ser mitigado por toda a estrutura de uma sidechain federada. Os 15 funcionários da Liquid operam módulos de segurança de hardware especializados. Eles executam servidores à prova de violação. Eles gerenciam uma carteira multisig 11-de-15 projetada para tolerar até quatro signatários comprometidos ou offline. O modelo de segurança pressupõe que a federação é competente, bem financiada e executa software atualizado.

Executar código de desenvolvimento não lançado é um tipo de risco. Executar código que está cinco meses atrasado em relação a uma correção de segurança crítica é outro. Nenhum dos dois inspira confiança.

A Liquid Network recuperou 3.400 BTC após o exploit da ponte, mas a recuperação veio da boa vontade do atacante, não de qualquer salvaguarda da federação. Se o atacante fosse um operador do Grupo Lazarus, os 3.996 BTC teriam passado por um misturador em poucas horas e a Liquid Network teria se tornado insolvente, sem caminho para recuperação.

A pergunta que a Blockstream ainda não respondeu publicamente é por que um patch que havia sido mesclado há quatro dias e commitado há mais de um mês não foi implantado nos nós da federação. A segurança da sidechain é tão forte quanto o elo mais fraco em sua cadeia operacional. Para a Liquid, esse elo mais fraco acabou sendo uma atualização de software que ficou em um repositório enquanto a vulnerabilidade que ela corrigia estava em produção.

O paralelo com a DAO: quando o código quebra a confiança

As comparações com o hack da DAO de 2016 começaram poucas horas após o dreno da Liquid, e merecem ser levadas a sério.

Em junho de 2016, um atacante explorou um bug de reentrância no contrato inteligente da DAO para drenar 3,6 milhões de ETH, valendo cerca de US$ 60 milhões na época. A comunidade Ethereum enfrentou uma escolha: aceitar o exploit como um resultado válido do código ou fazer um hard fork na rede para reverter a transação e devolver os fundos. Ethereum escolheu o fork. Ethereum Classic, a cadeia sem fork, sobreviveu como uma declaração filosófica de que código é lei e exploits são apenas o mercado corrigindo código ruim.

A situação da Liquid rima, mas não se repete. A camada base do Bitcoin nunca esteve em risco. O exploit aconteceu inteiramente dentro da sidechain Liquid, e o mecanismo de peg-out que liberou BTC real estava funcionando exatamente como projetado. Ele liberou fundos porque os nós da federação disseram que a solicitação era válida. Os nós da federação disseram que a solicitação era válida porque seu cache de verificação foi envenenado por um bug que deveria ter sido corrigido.

Não há debate sobre fork aqui porque não há nada para fazer fork. Liquid é uma sidechain federada, não uma cadeia de proof-of-work com mineradores independentes. A Blockstream pode corrigir o código, reiniciar os nós da ponte e retomar as operações. Os 598,5 BTC que o atacante manteve se foram. Eles saíram do sistema Liquid através de um peg-out legítimo e agora existem na camada base do Bitcoin, onde estão sujeitos às mesmas regras que qualquer outro Bitcoin. Nenhuma quantidade de governança da federação pode recuperá-los.

Mas o paralelo com a DAO se mantém em um sentido mais profundo. Ambos os incidentes forçaram suas respectivas comunidades a confrontar a lacuna entre o modelo de segurança que acreditavam ter e o modelo de segurança que realmente tinham. Ethereum acreditava que contratos inteligentes eram sem confiança. Os usuários da Liquid acreditavam que uma federação de 15 funcionários executando módulos de segurança de hardware era segura o suficiente. Ambas as suposições morreram no contato com um atacante suficientemente motivado.

O caso contrário: sidechains federadas ainda funcionam

Vale a pena fazer o caso otimista para Liquid e sidechains federadas com força total, porque a narrativa pessimista se escreve sozinha e a verdade é mais complicada.

Primeiro, o peg-out funcionou exatamente como projetado. A federação assinou uma transação que parecia válida de acordo com as regras que estava executando. O bug estava na lógica de verificação, não na lógica de assinatura, no gerenciamento de chaves ou na infraestrutura HSM. A arquitetura de segurança central da Blockstream, o multisig 11-de-15 com hardware à prova de violação, nunca foi violada.

Segundo, o atacante devolveu 85% dos fundos em 30 horas. Compare isso com o hack da Bybit em fevereiro de 2025, onde o Grupo Lazarus roubou US$ 1,4 bilhão e não devolveu nada. Compare com a ponte Ronin, onde US$ 624 milhões desapareceram em redes de lavagem da Coreia do Norte. Compare com o exploit da carteira de hardware Coldcard que drenou US$ 130 milhões em julho de 2026 sem possibilidade de recuperação. O resultado da Liquid, embora doloroso, está entre os melhores que qualquer protocolo explorado já alcançou.

Terceiro, a vulnerabilidade era um bug de software, não uma falha de design. O cache de provas de intervalo é uma otimização, e a correção é simples: incluir o tipo de ativo e o scriptPubKey na chave do cache. O patch já existe. Uma vez implantado, esse vetor de ataque específico fecha permanentemente.

Quarto, outros ativos na Liquid, incluindo USDT, DePix e ativos do mundo real tokenizados, não foram afetados. O exploit visava especificamente o mecanismo de peg-out de BTC. Usuários que detinham L-USDT ou outros tokens emitidos pela Liquid não perderam fundos.

O contra-argumento para tudo isso é simples: “Funcionou como projetado” é um consolo frio quando o design permitiu que US$ 320 milhões saíssem pela porta. Um sistema que depende de 15 organizações mantendo seu software atualizado tem 15 pontos potenciais de falha. E o fato de a recuperação depender da boa vontade do atacante, e não de qualquer salvaguarda do protocolo, não é uma característica do modelo de segurança. É a ausência de um.

O que isso significa para cada ponte federada

O exploit da Liquid ocorre em um momento em que o ecossistema de sidechains e Layer 2 do Bitcoin está mais movimentado e mais ambicioso do que nunca.

Stacks, que atualizou para o lançamento Nakamoto no final de 2025, usa um modelo de segurança diferente, vinculado à finalidade do Bitcoin. A Lightning Network opera como uma verdadeira Layer 2 com segurança baseada em canais que não depende de uma federação. Fedimint, o protocolo federado de e-cash, usa uma estrutura de federação semelhante à da Liquid, mas para custódia custodial de Bitcoin em vez de uma sidechain completa. RSK, outra sidechain federada, compartilha muitas das premissas arquitetônicas da Liquid.

Para cada projeto que usa uma federação, o exploit da Liquid é um alerta. A questão não é se os membros da federação podem ser confiáveis com chaves privadas. A questão é se os membros da federação podem ser confiáveis para executar software atualizado, responder a divulgações de segurança em tempo hábil e manter disciplina operacional em 15 organizações independentes com prioridades diferentes, equipes de TI diferentes e níveis diferentes de urgência.

Paradas de protocolo após exploits estão se tornando rotina em toda a indústria. O congelamento da Liquid é mais consequente do que a maioria porque afeta uma sidechain nativa do Bitcoin que players institucionais usam desde 2018. Se a Liquid não puder garantir que sua federação está executando software corrigido, então a vantagem de confiança que uma federação conhecida e regulamentada deveria fornecer sobre validadores anônimos ou pontes descentralizadas entra em colapso.

A lição mais ampla é uma que o ecossistema DeFi vem aprendendo da maneira mais difícil desde 2020: segurança operacional não é um recurso que você envia uma vez. É um processo que você executa todos os dias. Bugs serão encontrados. Patches serão escritos. A questão é se o patch chega à produção antes que o atacante alcance o peg-out. Em 6 de setembro de 2026, a resposta foi não.

O que observar

• Versões do software dos nós da federação: Se a Blockstream implementa verificações obrigatórias de versão ou mecanismos de atualização automática para os nós functionários sinalizará o quão seriamente a lacuna operacional está sendo tratada.
• Recuperação da desvinculação do L-BTC: A proporção de reserva de lastro caiu para aproximadamente 86 centavos por L-BTC após o retorno. Observe a rapidez com que a confiança e a estabilidade da paridade retornam assim que os nós da ponte forem reabertos.
• A carteira de 598,5 BTC: Rastreadores on-chain monitorarão os fundos retidos pelo atacante para ver se há movimentação. Qualquer tentativa de misturar ou gastar fornecerá dados forenses sobre a identidade e as intenções do atacante.
• Resposta legal e regulatória: Se alguma jurisdição abrir uma investigação criminal estabelecerá um precedente para como explorações autodeclaradas de white hat são tratadas quando não existe um acordo formal de recompensa por bugs.
• Adoção de sidechains concorrentes e L2: Se usuários institucionais migrarem volume da Liquid para Lightning, Stacks ou camadas de liquidação centralizadas após a exploração, isso será visível nas métricas on-chain dentro de semanas.