Sottratti 320 milioni di Bitcoin dalla rete Liquid Network. Quale impatto per gli investitori?

Hackerata una delle principali infrastrutture costruite sopra Bitcoin per accelerare i trasferimenti e tokenizzare asset finanziari, spariti 4mila token. Cosa cambia adesso per la criptovaluta?

Quasi 4.000 bitcoin, per un valore di 320 milioni di dollari, sono stati prelevati nel fine settimana senza autorizzazione da Liquid Network, una delle principali infrastrutture costruite sopra Bitcoin per accelerare i trasferimenti e tokenizzare asset finanziari. La cifra sottratta corrisponde a circa il 95% dei bitcoin custoditi dal sistema: quasi l’intera riserva. In reazione Liquid ha sospeso la rete e gli exchange hanno bloccato depositi e prelievi di L-BTC: la piattaforma resta ferma, in attesa di chiarire l’accaduto mentre è in corso un dialogo serrato con gli stessi pirati informatici.

La domanda che conta di più è semplice: la blockchain di Bitcoin è a rischio? La risposta è no. L’incidente non ha violato la rete Bitcoin, ma ha colpito Liquid, un sistema separato costruito sopra di essa. Il rischio immediato riguarda chi possiede L-BTC (dei derivati su Bitcoin) e la credibilità di un progetto nato per ampliare gli utilizzi finanziari di Bitcoin — non la rete principale. Non a caso, il prezzo di Bitcoin è rimasto sostanzialmente indifferente all’accaduto, scendendo di appena l’1% a 79.500 dollari. Resta comunque una cattiva notizia per chi lavora a costruire, sopra Bitcoin, un mercato finanziario più ampio in cui trasferire e tokenizzare asset.

Cosa è successo

Dopo il prelievo, i 4.000 BTC sono confluiti in un unico indirizzo. Gli autori hanno lasciato un messaggio registrato direttamente sulla blockchain: “Siamo white hat. Contattateci on-chain”. Si è aperta così una trattativa da 320 milioni di dollari condotta sotto gli occhi del mondo, con messaggi che viaggiano sulla blockchain di Bitcoin e vengono rilanciati quasi in tempo reale su X, dove chiunque può seguirne l’evoluzione.

White hat è il termine con cui si indicano gli hacker che scoprono una vulnerabilità e collaborano con il proprietario del sistema per correggerla. In questo caso, però, si tratta ancora soltanto di un’autodefinizione: i bitcoin per ora restano sotto il controllo degli autori ma la loro restituzione non è garantita. Anche se in un messaggio gli hacker hanno scritto: «Please fix the bug first. The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix» (Vi preghiamo di correggere prima il bug. La chain è a rischio all’ultimo commit in questo momento. Assicuratevi che ogni nodo sia aggiornato con la patch. Dopo aver confermato la correzione, trasferiremo i fondi indietro in sicurezza).

Bitcoin e Liquid: due reti, due livelli di rischio

Per capire dove si è aperta la falla bisogna distinguere Bitcoin da Liquid Network. Bitcoin è la rete principale su cui vengono registrati i trasferimenti della criptovaluta. Liquid è una rete separata, paragonabile a una corsia laterale: l’utente vi sposta temporaneamente i propri bitcoin per effettuare operazioni più rapide e accedere a funzioni aggiuntive.

Liquid è stata sviluppata da Blockstream, società tecnologica fondata nel 2014 da un gruppo di specialisti della crittografia e di Bitcoin, ed è entrata in funzione nel settembre 2018 con la partecipazione iniziale di 23 operatori del settore. Il progetto si rivolge soprattutto agli exchange e agli intermediari finanziari: una transazione su Liquid raggiunge normalmente la conferma definitiva in circa due minuti (contro i circa 10 della rete Bitcoin), e il sistema offre anche una maggiore riservatezza sulle operazioni.

Liquid permette inoltre di tokenizzare asset — creare rappresentazioni digitali di valute o strumenti finanziari e trasferirle sulla rete — con l’obiettivo di costruire, sopra Bitcoin, un mercato capace di ospitare stablecoin e titoli. Il meccanismo centrale sono i Liquid Bitcoin, abbreviati in L-BTC: chi vuole utilizzare Liquid deposita bitcoin in una riserva controllata dagli operatori della rete e riceve in cambio lo stesso numero di L-BTC, gettoni digitali che rappresentano i bitcoin lasciati in custodia. Il rapporto previsto è di uno a uno — dieci bitcoin depositati permettono di ottenere dieci L-BTC — e gli L-BTC non sono nuovi bitcoin: non aumentano la quantità complessiva di BTC esistente, ma funzionano come ricevute digitali. Quando l’utente decide di tornare sulla rete principale, riconsegna gli L-BTC e riceve indietro i bitcoin custoditi nella riserva.

È proprio questa riserva ad essere stata colpita: quasi 4.000 dei circa 4.200 bitcoin depositati sono stati trasferiti verso un indirizzo controllato dagli autori dell’operazione. Liquid ha sospeso la rete e gli exchange hanno bloccato depositi e prelievi di L-BTC. La vulnerabilità non è stata ancora spiegata pubblicamente; Liquid ha comunicato che i fondi sono usciti attraverso la procedura prevista per riconvertire gli L-BTC in bitcoin, e che la chiave utilizzata per autorizzare questo tipo di operazioni non risulterebbe compromessa.

La blockchain di Bitcoin, nel frattempo, ha continuato a funzionare regolarmente: non sono state scoperte falle nella sua crittografia, nessuno ha modificato le transazioni già registrate, e i 4.000 BTC sono stati trasferiti seguendo le normali regole della rete, dopo essere usciti dal sistema di custodia di Liquid.

La differenza può essere paragonata a quella tra l’euro e una banca che lo custodisce. Un attacco ai sistemi della banca può consentire la sottrazione di denaro, ma l’euro continua a funzionare e le altre banche non vengono automaticamente compromesse. Nel caso di Liquid, il punto debole sembra trovarsi nel meccanismo utilizzato per custodire i bitcoin e autorizzarne la restituzione: la sicurezza della rete principale non si trasferisce automaticamente a tutte le infrastrutture costruite sopra di essa.

Le conseguenze immediate – e quelle più ampie

Le conseguenze più dirette riguardano i possessori di L-BTC: ogni token promette la restituzione di un bitcoin, e se i fondi non tornassero nella riserva, gran parte di quella promessa rimarrebbe priva della copertura prevista. Ma la conseguenza più ampia riguarda la fiducia in Liquid stessa. La rete si propone come infrastruttura per i trasferimenti tra operatori e per l’emissione di asset tokenizzati: la sottrazione del 95% delle riserve mette sotto pressione il suo modello di sicurezza e rischia di rallentarne l’adozione.

La vicenda ha assunto una dimensione particolare dopo il primo messaggio degli autori. Blockstream ha accettato di comunicare attraverso la blockchain e ha risposto inviando una piccolissima quantità di bitcoin insieme a un testo. Le comunicazioni successive sono cifrate — il messaggio viene registrato pubblicamente ma può essere letto soltanto dal destinatario — pur restando ogni passaggio visibile: chiunque può osservare in diretta i tempi della trattativa e gli indirizzi coinvolti.

Perché il prezzo non si è mosso

Il prezzo di Bitcoin ha reagito con un calo contenuto, vicino all’1%, restando intorno a 79.500 dollari — un movimento limitato rispetto ai 320 milioni coinvolti nell’attacco. La tenuta si spiega, prima di tutto, con la separazione tra Bitcoin e Liquid: gli investitori sembrano avere interpretato l’incidente come una violazione di un’infrastruttura esterna, mentre il funzionamento della blockchain principale e la quantità massima di bitcoin prevista dal protocollo (21 milioni) non sono cambiati.

Conta anche la destinazione dei fondi. I quasi 4.000 BTC risultano concentrati negli indirizzi controllati dagli autori e non sono stati riversati sugli exchange: non si è quindi creata una pressione diretta derivante dalla loro vendita. La conversazione on-chain, inoltre, ha aperto la possibilità di una restituzione: la richiesta di correggere la vulnerabilità attribuisce una certa credibilità all’ipotesi dei white hat, e la prospettiva che gran parte dei fondi possa tornare alla federazione riduce il timore di una liquidazione immediata.

In termini assoluti, i 4.000 bitcoin rappresentano una cifra molto elevata, ma il loro peso resta limitato rispetto alla dimensione complessiva della classe di investimento: con una capitalizzazione superiore a 1.500 miliardi di dollari, i 320 milioni coinvolti corrispondono a circa lo 0,02% del mercato.

Cosa resta, oltre l’incidente

La reazione contenuta del mercato non elimina i rischi dell’incidente: indica piuttosto che gli investitori stanno imparando a distinguere Bitcoin dalle infrastrutture costruite intorno ad esso. L’episodio mostra, in fondo, il costo della complessità: ogni nuovo livello aggiunge funzioni e crea nuovi punti da proteggere. Una rete può avere fondamenta solide e presentare comunque vulnerabilità nei sistemi costruiti sopra di esse.

Resta, infine, una questione legata all’intelligenza artificiale. I nuovi modelli possono analizzare enormi quantità di codice e accelerare la ricerca degli errori: possono aiutare gli sviluppatori a correggere una vulnerabilità, ma consentire agli attaccanti di individuarla più rapidamente. Non esistono prove pubbliche che un modello di intelligenza artificiale sia stato utilizzato nel caso Liquid, ma le capacità raggiunte da questi sistemi rendono plausibile un aumento della velocità degli attacchi informatici in generale.

Bitcoin rappresenta un honeypot — un bersaglio particolarmente attraente, perché una vulnerabilità può produrre un guadagno economico immediato — e la stessa capacità di analisi può essere rivolta contro i sistemi delle aziende o delle amministrazioni pubbliche, dove il valore si trova nei dati o nella possibilità di bloccare un servizio, e la ricompensa può arrivare attraverso un riscatto o lo spionaggio.