Uma falha na Liquid Network permitiu a retirada de cerca de 4.000 BTC de sua custódia federada — valor estimado em US$ 320 milhões. ⚠️ O Bitcoin, porém, seguiu operando normalmente: o problema ocorreu na sidechain Liquid. 🧵

Imagem indisponível

A Liquid usa o L-BTC, uma representação de Bitcoin dentro de seu próprio ambiente. Em condições normais, cada L-BTC deveria ter correspondência em BTC mantidos sob custódia da federação que opera a rede.

A vulnerabilidade estava no Elements, software usado pela Liquid. Um componente que verifica provas criptográficas mantinha resultados anteriores em memória, abrindo espaço para que dados inválidos fossem aceitos como já verificados.

Imagem indisponível

Na prática, os invasores criaram quase 4.000 L-BTC sem lastro. Depois, usaram esses tokens em operações de peg-out — a conversão de L-BTC para BTC na rede principal — e retiraram bitcoins reais via SideSwap.

A Liquid afirmou que chaves privadas não foram comprometidas e que não houve invasão de carteiras. A brecha estava na lógica de validação das transações, não no consenso, na emissão ou na segurança da rede Bitcoin.

Imagem indisponível

Durante a correção, a Liquid suspendeu operações. Os responsáveis se apresentaram como “white hats” em mensagens gravadas na blockchain do Bitcoin e disseram que devolveriam os fundos após a solução do problema.

Cerca de 3.400 BTC foram devolvidos. Outros 600 BTC, estimados em US$ 47 milhões, permaneceram retidos. A Blockstream rejeitou tratar esse valor como recompensa por reportar a vulnerabilidade: a falha foi explorada antes da devolução parcial.

Imagem indisponível

O caso reforça uma distinção essencial: Bitcoin e camadas construídas sobre ele têm modelos de risco diferentes. Sidechains podem ampliar liquidez e funcionalidades, mas exigem código auditável, monitoramento contínuo e transparência sobre custódia e validação.