Bitcoin, il furto più grande del 2026: dalla rete Liquid di Blockstream spariscono 320 milioni di dollari in 23 minuti

Il 6 settembre un aggressore ha sfruttato una falla nel sistema di verifica delle transazioni di Liquid Network — il sidechain di Bitcoin gestito dalla società Blockstream — per generare circa 4’000 Bitcoin "fantasma", cioè non coperti da alcuna riserva reale, e convertirli in Bitcoin veri prelevandoli dal wallet federato della rete. In appena 23 minuti sono spariti circa 319 milioni di dollari, poco più di 258 milioni di franchi al cambio attuale: il furto crypto più ingente dell’anno, davanti a tutti gli attacchi DeFi registrati nei primi otto mesi del 2026.

Un bug tecnico, non un attacco al Bitcoin

Vale la pena chiarire subito un punto che genera spesso confusione. La blockchain di Bitcoin non è mai stata a rischio: Liquid è un sidechain, italicouna rete parallela ancorata a Bitcoin che permette transazioni più veloci e riservate, usata soprattutto da exchange ed emittenti di asset tokenizzatiitalico, e la falla riguardava esclusivamente il codice che verifica i "range proof" delle transazioni su Elements, il software che fa funzionare Liquid. Chi ha sfruttato il bug ha lasciato un messaggio nella blockchain dichiarandosi "whitehat" — un aggressore che segnala falle di sicurezza senza l’intenzione di trattenere il bottino — e il giorno successivo ha restituito circa 3’400 Bitcoin, pari a 272 milioni di dollari. Restano dispersi circa 47 milioni di dollari, quasi 38 milioni di franchi. La rete è tuttora sospesa e gli exchange non hanno riaperto gli scambi su L-BTC, il token che rappresenta Bitcoin su Liquid.

Cosa cambia per chi investe dalla Svizzera

L’episodio arriva a pochi mesi da una stretta regolatoria che riguarda direttamente la piazza finanziaria svizzera. Con la Guidance 01/2026, pubblicata lo scorso gennaio, la FINMA ha chiarito le condizioni per cui le cripto-attività custodite da una banca svizzera restano protette in caso di fallimento dell’istituto — e sotto quali condizioni la delega a un custode estero è ammessa (cfr. FINMA stringe sulle criptovalute). È la differenza pratica tra affidare i propri Bitcoin a un intermediario vigilato — come fanno ormai anche le banche cantonali, con BancaStato che dallo scorso luglio offre l’acquisto di Bitcoin, Ethereum, Litecoin e Solana direttamente dall’e-banking appoggiandosi a Sygnum per la custodia — e tenere i propri asset su un sidechain o un wallet non regolamentato, dove in caso di bug o attacco non esiste alcuna rete di protezione paragonabile a quella bancaria. Anche i criteri più elementari nella scelta di un exchange — regolamentazione, uso di cold wallet, segregazione dei fondi dei clienti — restano il primo filtro per chi vuole ridurre l’esposizione a episodi come questo.

Le cose da sapere

• Il furto, 319 milioni di dollari, è il più grande dell’anno nel settore cripto.
• Il bug riguardava il sidechain Liquid di Blockstream, non la blockchain di Bitcoin: chi detiene BTC nativi — su un exchange regolamentato o in un wallet proprio — non è stato toccato.
• Gli aggressori hanno restituito l’85% dei fondi entro 24 ore, qualificandosi come "whitehat".
• In Svizzera, la custodia bancaria di cripto-attività segue dal gennaio 2026 la Guidance FINMA 01/2026, che impone la segregazione dei fondi dei clienti e la loro protezione in caso di fallimento dell’istituto.
• Restano sospesi gli scambi su L-BTC: chi ne detiene attende ancora indicazioni ufficiali da Blockstream sui tempi di ripristino.

Le quotazioni e i cambi citati sono indicativi al momento della pubblicazione. Per informazioni aggiornate sulla vigilanza svizzera sulle cripto-attività si può consultare il sito della FINMA.