Um hacker acabou de dizer a uma sidechain de Bitcoin para corrigir o seu próprio erro antes de devolver o dinheiro

Algum tempo depois das 14h00 UTC do dia 6 de setembro de 2026, alguém retirou discretamente 3 996 BTC da carteira da federação da Rede Liquid da Blockstream. Na altura, esse valor correspondia a cerca de 320 milhões de dólares. A carteira continha cerca de 4 200 BTC antes da transação. Depois, restavam cerca de 207. Noventa e cinco por cento da reserva que garantia o token L-BTC da Liquid desapareceu simplesmente, numa única transferência, e ninguém na Blockstream tinha previsto tal acontecimento.

A Liquid confirmou o incidente no X poucas horas depois: a Blockstream afirmou estar ciente de um incidente de segurança e estar a trabalhar para contactar as partes na cadeia de blocos através de uma mensagem assinada, descrevendo a retirada como obra de «supostos hackers de chapéu branco». A rede suspendeu novas transações, desativou os seus nós de ponte e solicitou às bolsas que congelassem os depósitos e levantamentos de L-BTC enquanto investigava o que tinha acontecido. «As carteiras da Liquid serão afetadas e pedimos desculpa por qualquer inconveniente», dizia a publicação — o que é estranho de se escrever depois de perder um valor de nove dígitos em Bitcoin durante um fim de semana.

O que torna este caso invulgar não é a dimensão da perda, embora os 320 milhões de dólares o coloquem perto do topo da lista de ataques deste ano. É o que não aconteceu. Nenhuma chave privada foi roubada. Nenhum membro da federação foi vítima de phishing. A Liquid afirmou claramente que a «SideSwap Peg-out Authorization Key », utilizada para transferir os fundos , «não foi comprometida, nem quaisquer outras». A SideSwap confirmou isso, afirmando que a transação foi processada como uma ordem normal de cliente, totalmente assinada e autorizada, e que não havia forma de os seus sistemas detectarem que o L-BTC subjacente não deveria existir.

Esse é o verdadeiro bug. Alguém encontrou uma falha no Elements, o software de código aberto subjacente à Liquid, que lhes permitiu cunhar L-BTC sem qualquer Bitcoin real como garantia. O analista on-chain mononaut estimou que, após a drenagem, cada LBTC em circulação estava respaldado por apenas cerca de 4,7% de um bitcoin real. O colaborador do Bitcoin Core, Antoine Poinsot, que publica sob o nome de utilizador «darosior», reparou que havia mais algo de errado: um bloco da Liquid que o próprio explorador da Blockstream aceitou não aparecia de todo no «mempool.space», um pequeno pormenor técnico que sugeria até que ponto a falha se estendia na lógica de consenso. Os investigadores acabaram por descobrir que a origem do problema residia na forma como as transações confidenciais da Liquid são validadas e armazenadas em cache — um bug de inflação, e não uma história de chaves roubadas.

Depois veio a parte que está a transformar isto num dos impasses mais estranhos da história da segurança das criptomoedas. A pessoa ou pessoas na posse dos fundos começaram a enviar mensagens de volta à Blockstream incorporadas diretamente em transações de Bitcoin, algumas através de OP_RETURN, outras alegadamente encriptadas com PGP. Uma delas dizia, mais ou menos: corrijam primeiro o bug, confirmem que todos os nós estão corrigidos e só então o dinheiro será devolvido. A Blockstream, liderada por Adam Back, respondeu na mesma moeda. De acordo com reportagens do The Block, a empresa enviou a sua própria mensagem assinada assim que a correção ficou ativa: «Os nós de ponte estão corrigidos, é seguro devolver os fundos.» À data da redação deste artigo, os Bitcoins continuavam na carteira do atacante.

O diretor de investigação da Galaxy Digital, Alex Thorn, afirmou que os hackers tinham ido um passo além e enviado à Blockstream relatórios técnicos encriptados para ajudar a identificar a vulnerabilidade. Se isso se confirmar, trata-se de uma estrutura de incentivos verdadeiramente estranha: uma exploração no valor de 320 milhões de dólares a funcionar, até ao momento, como um prémio por descoberta de bugs não pago e bastante agressivo. Se a situação se mantém assim é a única questão que importa neste momento, e ninguém além do proprietário dessa carteira sabe realmente a resposta. Todas as grandes alegações dos «white-hats» neste setor são postas à prova no momento em que o prazo para devolver os fundos chega efetivamente.

Para todos os outros, os danos imediatos são mais mundanos. Os outros ativos da Liquid, incluindo USDT, DePix e vários ativos do mundo real tokenizados na rede, ficaram, alegadamente, intocados, uma vez que o bug era específico do processamento de transações confidenciais do L-BTC e não da sidechain como um todo. No entanto, a federação suspendeu toda a rede na mesma, e as bolsas que encaminham a liquidação através da Liquid tiveram de interromper a atividade da LBTC enquanto as correções são implementadas pelos operadores de nós da federação. A Liquid funciona desde 2018 como uma sidechain federada de Bitcoin supervisionada por mais de 80 bolsas e empresas de infraestrutura, e este é o tipo de evento que tende a ser referido em todos os futuros argumentos a favor ou contra os modelos de pontes federadas.

Há também aqui um padrão mais amplo que é fácil perder de vista nos pormenores de um único incidente. Só esta exploração elevou o total de hackeamentos de criptomoedas da semana para mais de 320 milhões de dólares, e outras perdas menores, incluindo uma exploração de um depósito em garantia de cerca de 1,7 milhões de dólares na Notional Finance, sinalizada separadamente por monitores de segurança, contribuíram para esse valor. As sidechains e as pontes continuam a ser o local por onde o dinheiro sai, não porque a camada base do Bitcoin seja fraca, mas porque tudo o que é construído à sua volta herda quaisquer erros que existam no seu próprio software.

A Blockstream ainda não indicou quando o Liquid será totalmente retomado, nem confirmou a identidade do atacante, nem se «white hat» é a designação correta para alguém que retirou quase toda a reserva da rede antes de concordar em dialogar. Por enquanto, a história é a de uma sidechain de bitcoin à espera de uma promessa, escrita em mensagens da blockchain, da mesma pessoa que acabou de provar que essa promessa era, de facto, necessária.