Liquid Network hackeada: 4 000 bitcoins levados, 3 400 devolvidos
A 6 de setembro saíram cerca de 4 000 BTC da carteira da federação da Liquid Network, da Blockstream. Voltaram 3 400 BTC; 598,5 BTC não. O que muda para quem tem L-BTC.
No sábado, 6 de setembro, entre as 13:53 e as 14:28 UTC, cerca de 4 000 bitcoins saíram da carteira da federação da Liquid Network, a sidechain de bitcoin da Blockstream. Ao preço do momento eram 319 milhões de dólares, cerca de 274 milhões de euros; segundo a TRM Labs, o maior hack cripto de 2026 até agora. Um dia depois, os atacantes devolveram 3 400 BTC. Os restantes 598,5 BTC, cerca de 47 milhões de dólares ou 40 milhões de euros, continuam com eles. A Liquid está parada desde então.
Como funcionou o ataque
A Liquid é uma sidechain: envias bitcoin para uma carteira gerida por uma federação de empresas e recebes em troca L-BTC na sidechain, um por um. O software que valida a sidechain chama-se Elements. Era aí que estava a falha: um erro na cache de range proofs deixava passar como verificadas saídas de transação inválidas. Com isso, os atacantes criaram cerca de 4 000 L-BTC sem qualquer bitcoin por trás.
Depois apresentaram esses L-BTC sem cobertura para resgate através da SideSwap, um operador de peg-out autorizado. A federação funciona com uma multiassinatura 11 de 15. Assinou o pagamento porque o Elements considerava válida a cadeia com os L-BTC sem cobertura. Em 36 minutos, a carteira da federação passou de cerca de 4 200 para pouco mais de 200 BTC. A Blockstream afirma que nenhuma das suas chaves foi comprometida, e a SideSwap confirma que os L-BTC sem cobertura vieram de um bug no Elements. Não foi uma palavra-passe roubada, mas uma falha no código em que toda a cadeia confiava.
White hats, com uma recompensa que definiram sozinhos
Os atacantes deixaram uma mensagem na cadeia: são white hats, contactem-nos on-chain e corrijam primeiro o bug, porque cada nó no último commit está em risco. A 7 de setembro seguiu-se a devolução de 3 400 BTC, 85 % do total.
Nem toda a gente acredita nessa versão. Charles Guillemet, CTO da Ledger, comparou o caso ao hack da Ronin: levar o dinheiro primeiro e negociar depois não é divulgação responsável. Samson Mow, antigo CSO da Blockstream, notou que o pedido de contacto não veio do endereço que detinha os bitcoins. E os 598,5 BTC retidos, 15 %, são uma recompensa que os atacantes atribuíram a si próprios; a Blockstream não ofereceu nenhum prémio dessa dimensão. A TRM Labs etiquetou os endereços e segue os 47 milhões de dólares.
O que isto significa se tens L-BTC
Três coisas são certas a 9 de setembro. A rede está em pausa, as exchanges não retomaram a negociação de L-BTC e o resgate para bitcoin está suspenso. A federação ainda não anunciou condições de recuperação.
A conta da TRM Labs é o essencial: há agora cerca de 3 597 BTC em reserva para uns 4 200 L-BTC em circulação. É uma cobertura de cerca de 86 %. Enquanto os 598,5 BTC não voltarem ou a Blockstream não tapar o buraco por conta própria, nem todos os L-BTC estão totalmente cobertos. Outros ativos na Liquid, como USDT e títulos tokenizados, não foram afetados segundo os primeiros relatos.
Quem tem bitcoin na cadeia principal, na própria wallet ou numa exchange, não sente nada. O bug estava no Elements, não no Bitcoin Core.
O mercado mal reagiu
O bitcoin fechou a 8 de setembro a 78 475 dólares, menos 0,9 %. A The Motley Fool apontou o hack entre as razões, a par de uma probabilidade superior a 60 % de subida de juros pela Fed segundo a CME FedWatch e dos ataques contínuos entre os Estados Unidos e o Irão, que mantêm o petróleo acima dos 100 dólares por barril. No mês, o bitcoin continua a subir mais de 20 %.
O que aprender com isto
Uma sidechain é um acordo: entregas os teus bitcoins a uma federação e confias que o software e as assinaturas dela estão certos. Não é o mesmo que ter bitcoin numa wallet cujas chaves controlas. A desvantagem da autocustódia é que cada erro é teu; a de delegar é que o bug de outro passa a ser teu. A Liquid funciona desde 2018, com a Blockstream por trás e uma multiassinatura de quinze partes, e não chegou quando o próprio código de validação mentiu.
Encaixa no padrão que descrevemos em junho: os hacks são menos frequentes, mas fazem mais estragos. Depois da Coinsbuy em agosto e das contas sequestradas na DeFi, esta é a terceira camada a falhar: não o utilizador, não o custodiante, mas a própria cadeia.
Não é um conselho para evitar L-BTC ou a Liquid, mas uma razão para decidir, montante a montante, que risco preferes carregar: o da tua própria seed ou o de uma federação.
Fontes: TRM Labs, «2026's Biggest Hack To Date: Attackers Drained USD 319 Million in Bitcoin From Liquid Network» (8 de setembro de 2026); Yahoo Finance, «Blockstream's Liquid Network Drained 4000 Bitcoin by Alleged White Hat Hackers» (7 de setembro de 2026); The Motley Fool, «Crypto Market Today, Sept. 8» (8 de setembro de 2026). Valores em dólares convertidos à taxa de referência do BCE de 8 de setembro de 2026 (0,861 euros por dólar). Última verificação: 9 de setembro de 2026.