Blockstream recusa pagar resgate após recuperar 85% do BTC roubado em ataque à Liquid Network

A Blockstream decidiu não ceder à pressão dos autores do ataque à Liquid Network. Após recuperar cerca de 3.400 BTC dos 4.000 BTC retirados da carteira de federação da rede em 6 de setembro, a empresa informou em 11 de setembro que não pagará resgate pelos 598,5 BTC restantes, avaliados em aproximadamente US$ 47 milhões. Segundo a Blockstream, remunerar atacantes para obter a devolução de ativos roubados equivale a negociar com criminosos, não a um processo de divulgação responsável de vulnerabilidades. Para a companhia, pagar abriria um precedente e criaria um roteiro replicável para futuros exploits no setor. O que ocorreu na Liquid Network O incidente explorou um bug de software no codebase do Elements, framework open source que sustenta a sidechain Liquid. A falha permitiu a criação de LBTC sem lastro, o token pareado da rede, que foi então trocado por BTC real a partir da carteira de federação. A Blockstream destacou que não houve comprometimento das chaves de assinatura da federação. O modelo de segurança por multisig que governa a custódia na Liquid permaneceu intacto. O ataque se aproveitou de uma falha lógica na validação de transações de peg. Correções foram aplicadas rapidamente e, até 7 de setembro, cerca de 3.400 BTC haviam retornado, o equivalente a aproximadamente 85% do montante subtraído. Durante o processo de recuperação, a Liquid Network suspendeu temporariamente as operações e depois retomou com um programa atualizado de produção de blocos. Negociação on-chain e escalada de ameaças A troca de mensagens entre a Blockstream e os responsáveis pelo ataque ocorreu publicamente, por meio de mensagens OP_RETURN on-chain e transações de Bitcoin assinadas com PGP. Os atacantes se apresentaram inicialmente como "white hats" e exigiram uma recompensa de 10% para devolver integralmente o BTC roubado. Sem atendimento imediato, elevaram o tom e afirmaram que, se as condições não fossem aceitas, os detentores de BTC enfrentariam uma perda de 15%. A Blockstream classificou o episódio como roubo e rejeitou o rótulo de "white hat", argumentando que pesquisadores responsáveis reportam a vulnerabilidade e colaboram com a equipe afetada, em vez de drenar fundos e negociar depois. A empresa informou que acionou autoridades policiais e especialistas forenses para rastrear e tentar recuperar o saldo remanescente por vias legais. Risco de precedente e dimensão do caso Caso pagasse, o custo seria de aproximadamente US$ 47 milhões. O incidente figura entre os maiores exploits pontuais do ano no mercado cripto. Lançada em 2018, a Liquid Network é uma sidechain federada do Bitcoin voltada a liquidação mais rápida e transações confidenciais, com foco em exchanges e traders institucionais. Seu modelo depende de um consórcio de "functionaries" que, em conjunto, administra o mecanismo de paridade entre Bitcoin e LBTC.