Levaram 95% do cofre, devolveram 85% e se pagaram US$ 47 milhões de recompensa
O maior hack de 2026 até agora drenou cerca de 4.000 BTC da Liquid Network, a sidechain da Blockstream que exchanges usam para mover bitcoin. A negociação inteira aconteceu em mensagens gravadas na própria blockchain.
Em 6 de setembro, entre 14h05 e 14h28 UTC, atacantes drenaram cerca de 4.000 dos aproximadamente 4.200 BTC da carteira da federação da Liquid Network, a sidechain de bitcoin operada pela Blockstream e usada por exchanges para mover BTC. Ao preço do dia, uns US$ 80 mil por bitcoin, a conta fecha em torno de US$ 320 milhões, o maior incidente publicamente reportado de 2026 até agora, segundo a Chainalysis.
A falha não foi de chave privada. Foi de software. Um bug no cache de verificação criptográfica do Elements permitia que dados inválidos apontassem para um resultado já aprovado no cache, passando sem verificação completa. Com isso os atacantes cunharam L-BTC sem lastro e os converteram em BTC de verdade pelo peg-out. A Blockstream confirmou o incidente em post no X às 20h25 UTC do mesmo dia.
Aí começou a parte inédita: a negociação por OP_RETURN, mensagens gravadas em transações de bitcoin. Os atacantes se declararam white hats e condicionaram a devolução à correção do bug em todos os nós relevantes. A Blockstream respondeu com mensagem assinada por PGP, publicou o patch, o Elements v23.3.4, e confirmou a aplicação nos nós da ponte. Feito isso, os atacantes devolveram 3.400 BTC numa única transação, 85% do total, e ficaram com cerca de 600 BTC, uns US$ 47 milhões, como recompensa que ninguém ofereceu.
A rede retomou a produção de blocos, mas o buraco no vocabulário ficou. Programa de bug bounty tem regra, teto e aceite prévio da vítima. Aqui a recompensa foi definida unilateralmente por quem estava com os US$ 320 milhões na mão, o que dá ao gesto outro nome possível: extorsão com boas maneiras. Para as exchanges que usam a Liquid como encanamento, a lição é menos filosófica: 95% da reserva da federação saiu por um bug de cache, e a segurança do sistema dependeu, no fim, do humor de quem o quebrou.
Não há teto, não há regra, não há aceite prévio. Há quem segura o dinheiro.
A recompensa que ninguém ofereceu| Primeiro: o que saiu | |
| Reservas da federação | ~4.200 BTC |
| Drenado em 23 minutos | ~4.000 BTC |
| = A ~US$ 80 mil por BTC | US$ 320 mi |
| Depois: o que voltou | |
| Devolvido numa transação | 3.400 BTC |
| = Retido pelos atacantes | ~600 BTC |
| = A recompensa autodefinida | US$ 47 mi |
Números da análise on-chain da Chainalysis; a janela do dreno e a devolução são transações auditáveis. A CoinCentral conta 598 BTC e US$ 46 mi retidos; a diferença é arredondamento de cotação. Recompensa é a palavra dos atacantes, não da Blockstream.
Os hackers decidiram devolver, a Blockstream decidiu negociar em público na própria blockchain, e ninguém decidiu o valor da recompensa além de quem estava segurando o dinheiro.
A parte auditável desta matéria é incomum: quase tudo aconteceu em público, na própria chain. O que segue invisível é a intenção.
Evidência · 5 fontes▾
Entidades Blockstream, Liquid Network, Elements v23.3.4, Chainalysis
