Liquid inicia auditoria externa e troca chaves, mas saques de bitcoin da rede seguem sem data de retorno

A Federação Liquid anunciou em 29 de setembro de 2026 que contratou uma auditoria de segurança externa e independente do Elements v23.3.4, versão do software que corrigiu a falha explorada no ataque sofrido pela rede no início do mês. Ao mesmo tempo, o grupo está substituindo as entradas PAK (Peg out Authorization Key), as chaves que autorizam a retirada de bitcoins da sidechain para a rede principal. As informações são do crypto.news.

Segundo o comunicado citado pela publicação, a auditoria funciona como uma camada adicional de validação no caminho para a restauração segura das operações de peg out, o mecanismo que permite converter LBTC de volta em BTC. A federação também afirma estar garantindo que todas as chaves de bitcoin associadas a essas operações estejam devidamente guardadas em armazenamento a frio (cold storage). O ponto central para os usuários, porém, continua em aberto: nenhuma data foi informada para a retomada dos saques.

O incidente aconteceu em 6 de setembro. De acordo com o crypto.news, o atacante criou cerca de 4.000 LBTC sem lastro e se aproveitou do processo normal de peg out da rede para retirar aproximadamente 4.000 BTC da reserva da federação. Depois que as correções foram confirmadas, 3.396 BTC foram devolvidos. Cerca de 602 BTC ainda são alvo de esforços de recuperação.

A vulnerabilidade estava no armazenamento em cache dos resultados de verificação de rangeproofs no Elements, a plataforma de blockchain de código aberto que sustenta a Liquid. Uma alteração anterior havia retirado o contexto da transação da chave desse cache, o que abriu espaço para uma falha de consenso. A correção foi incorporada ao ramo 23.3.x em 8 de setembro e a versão 23.3.4 foi publicada no dia 9. Ela passou a serializar cada campo com um prefixo de tamanho, o que, segundo a Liquid, impede que conjuntos diferentes de entradas gerem a mesma chave de cache pelo método de colisão usado no ataque. A produção de blocos foi retomada também em 9 de setembro, em uma cadeia corrigida.

O episódio também gerou atritos entre participantes. A SideSwap, integrante da federação que detém uma PAK e que processou o peg out usado no ataque, alega que a federação sabia que sua chave de autorização operava online e que essa configuração estava visível em seus peg outs havia anos. A empresa diz que não recebeu orientação para mudar o funcionamento da chave nem para suspender as retiradas antes do incidente. Para contexto, o sistema PAK tem dois componentes: um offline, derivado da carteira de recebimento de bitcoin do membro, e outro online, que assina os pedidos de saída.

A Blockstream, por sua vez, recusou um pedido de resgate relacionado aos 602 BTC restantes e afirmou que vai trabalhar com autoridades, corretoras e especialistas forenses para tentar recuperar os fundos. Enquanto isso, as transações comuns dentro da rede voltaram a ocorrer sob monitoramento da federação, mas os peg outs permanecem suspensos.

Para quem acompanha o mercado, o caso é um lembrete de que soluções de segunda camada e sidechains trazem riscos próprios, diferentes dos do bitcoin em si. A auditoria externa e a troca de chaves indicam um esforço para recuperar a confiança, mas, sem prazo definido, detentores de LBTC seguem sem poder migrar seus recursos para a rede principal, e a recuperação dos 602 BTC restantes continua incerta.