Nella finestra del 6–7 set 2026, Liquid Network ha dichiarato che attori che si presentavano come white-hat hanno prelevato circa 4.000 BTC, per un valore di circa $320 milioni, dal wallet della federazione che sostiene L-BTC. Cointelegraph (Ezra Reguerra, aggiornato il 7 set, 07:30 UTC) ha inquadrato il prelievo come circa il 95% del saldo di circa 4.200 BTC del wallet. Bitcoin Magazine ha riportato un peg-out di 4.019,4 BTC tramite la Peg-out Authorization Key (PAK) di SideSwap verso un indirizzo terminante in 6gyqjlte, con un messaggio in stile OP_RETURN che recitava “we are whitehats. contact us on chain.” L’Hodler’s Digest di Cointelegraph ha indicato che i dati dell’explorer Liquid mostravano il saldo del wallet della federazione in calo da circa 4.200 BTC a 207,275 BTC, e ha descritto l’estrazione come poco sotto i 4.000 BTC / circa $319 milioni.
Ciò che rende questo un caso Expert Arena è la separazione tra il disegno della riserva e il percorso software. Liquid è una sidechain Bitcoin federata: L-BTC è pensato per essere supportato da BTC detenuto sotto controllo della federazione. Secondo la meccanica normale descritta nella copertura pubblica, L-BTC viene bruciato sulla sidechain prima che il BTC lasci le riserve, e il movimento dal treasury è inquadrato come un multisig 11-of-15 della federazione su un ampio set di membri. Un peg-out ampio e inatteso non si limita a spostare coin; drena la riserva che rende credibile la contabilità del peg per i restanti holder di L-BTC finché i fondi non tornano o le riserve non vengono ricostruite.
Due strati di fiducia contano più del titolo. Il primo è la correttezza del software Elements: quale L-BTC può essere creato o speso sulla sidechain. Il secondo è il percorso di autorizzazione del peg-out che consente a un ordine cliente apparentemente valido di muovere BTC mainnet. SideSwap ha dichiarato che il prelievo è passato dal suo servizio di peg-out come ordine cliente usando la sua PAK, e che la PAK stessa non è stata compromessa. Ha detto che l’L-BTC usato nell’ordine proveniva da un bug in Elements, il software open-source alla base di Liquid, e non dai sistemi SideSwap. I messaggi di Liquid, come riportati dagli outlet, hanno pure indicato che i fondi sono usciti via PAK SideSwap senza che quella chiave fosse compromessa. Bitcoin Magazine ha notato una narrativa di bug di inflazione sul lato L-BTC come ipotesi principale, mentre la conferma tecnica pubblica completa del percorso esatto di consensus restava incompleta al momento di quei report. La lettura cauta è quindi: la compromissione delle chiavi non è la storia che raccontano gli operatori; la creazione invalida o inattesa di L-BTC più un peg-out dall’aspetto legittimo lo è.
La risposta operativa ha isolato la superficie del peg BTC. Liquid ha detto che i nodi bridge sono stati disabilitati, impedendo nuove transazioni su quel rail, mentre gli exchange hanno sospeso o si preparavano a sospendere depositi e prelievi di L-BTC. Altri asset emessi su Liquid — tra cui USDT, DePix e real-world assets — sono stati descritti come non interessati. Quella separazione è informativa: la rete ha trattato l’incidente come un problema di riserva del peg, non come un freeze generalizzato di ogni asset emesso su Liquid.
Anche il canale di disclosure è stato insolito. Blockstream ha contattato gli attori tramite messaggi on-chain firmati. Il CEO di JAN3, Samson Mow, ha compilato una timeline pubblica da quei messaggi incorporati: lo scambio è iniziato alle 11:30 am ora del Pacifico quando gli attori si sono identificati come white hats e hanno chiesto contatto on-chain; Blockstream ha risposto circa un’ora dopo indicando la sua email di security, poi ha inviato un messaggio cifrato PGP; ore dopo gli attori hanno chiesto se potessero restituire la maggior parte del BTC a un indirizzo Blockstream e hanno preteso che la vulnerabilità fosse corretta e che ogni nodo fosse aggiornato prima del trasferimento. Mow ha detto che il “Yes, thank you” di Blockstream rispondeva alla domanda sull’indirizzo di restituzione, non alla condizione di patch. Cointelegraph ha riportato circa 3.998,5 BTC ancora non mossi a quel checkpoint, senza ulteriori messaggi alle 9:12 pm ora del Pacifico in quel pezzo, e fondi non restituiti al momento della stesura. Autodefinirsi white hats è una rivendicazione, non una prova di intento; i fatti osservabili sono il drain della riserva, la pausa e la negoziazione di restituzione condizionale ancora aperta nella copertura pubblica.
Cosa aggiornerebbe o falsificherebbe questa lettura: fondi restituiti senza un ulteriore peg-out; un post-mortem di Blockstream o Liquid che nomini una root cause diversa da un bug di Elements; compromissione confermata di PAK o di chiavi della federazione; contabilità di circulating supply di L-BTC che non combacia con un puro drain di riserva; o peg-out aggiuntivi dopo la pausa del bridge. Finché non arrivano, il segnale sul meccanismo è chiaro: la credibilità del peg di una sidechain poggia sia sulla correttezza del software sia sul percorso di autorizzazione che trasforma claim della sidechain in BTC mainnet.
Cointelegraph (Ezra Reguerra, Sep 7, 2026); Cointelegraph Hodler’s Digest; Bitcoin Magazine; Liquid Network / SideSwap statements via those outlets; Samson Mow (JAN3) on-chain message timeline