Un incidente significativo en Liquid, una sidechain vinculada a Bitcoin, resultó en la retirada de aproximadamente 4.000 BTC, valorados en 320 millones de dólares. El fallo, atribuido a un error en el software Elements, permitió la creación de L-BTC no respaldados. Los responsables de la operación, quienes se identifican como 'whitehats', han contactado a Blockstream y prometen devolver la mayoría de los fondos una vez que se corrija la vulnerabilidad.
Actualmente, estamos rodeados de sistemas que continuamente determinan la validez de las operaciones. Esto ocurre al iniciar sesión en una cuenta, cuando un banco aprueba una transferencia o cuando una red valida que una operación cumple sus protocolos para ser ejecutada. Generalmente, no nos detenemos a pensar en ello, ya que asumimos que estos controles funcionan correctamente. El problema surge cuando el sistema legitima algo que, en realidad, nunca debió haber pasado sus filtros. Si esto ocurre en una infraestructura financiera, el error trasciende una simple anomalía técnica.
La historia que nos ocupa se inicia en Liquid, una red asociada a Bitcoin y desarrollada por Blockstream. El 6 de septiembre, sus administradores informaron que aproximadamente 4.000 BTC habían sido retirados de la cartera federada, que previamente contenía cerca de 4.200 BTC. Esto representa casi el 95% de los fondos, cuyo valor en ese momento ascendía a unos 320 millones de dólares. La organización reaccionó deshabilitando sus nodos puente y solicitó a los exchanges que suspendieran temporalmente los depósitos y retiros de L-BTC mientras se investigaba la causa del incidente.
Liquid no es Bitcoin. Aunque ambas están interconectadas, se trata de redes distintas. Liquid es una sidechain, una red secundaria diseñada para agilizar el movimiento de activos vinculados a Bitcoin y ofrecer funcionalidades adicionales. Para utilizarla, los BTC se bloquean en la red principal y, en contrapartida, se emite una cantidad equivalente de L-BTC en Liquid. La relación está concebida para ser uno a uno: cada L-BTC debe corresponderse con un BTC real inmovilizado fuera de esa cadena. Esto explica la necesidad de que la federación custodie una reserva de Bitcoin.
El proceso de retorno de Liquid a Bitcoin se realiza a través de un peg-out, una operación que solo puede ser iniciada por miembros de la Federación. Un usuario puede recurrir a un servicio autorizado, como SideSwap: entrega sus L-BTC, estos se eliminan de circulación y la federación libera los BTC correspondientes. En este caso, un cliente envió 4.000 L-BTC a SideSwap y el servicio procesó la operación como válida. La federación terminó liberando unos 3.996 BTC.
El inconveniente no radicó en la retirada, sino en los propios L-BTC que llegaron a la plataforma. Según la reconstrucción comunicada por SideSwap, Blockstream les informó que esas 4.000 unidades se habían generado a partir de un fallo en Elements, el software que sustenta Liquid. Si esta explicación preliminar se confirma, el mecanismo de salida no habría detectado anomalías porque recibió activos que el sistema ya consideraba legítimos. Liquid asegura que la Clave de Autorización Pública (PAK) de SideSwap empleada en el proceso no fue comprometida, mientras que SideSwap sostiene que sus sistemas tampoco sufrieron vulneraciones.
Bitcoin no fue vulnerado. Aunque hemos hablado de miles de BTC, la brecha no ocurrió en la cadena principal. Liquid es una infraestructura independiente, basada en Elements y gestionada por una federación, por lo que parte de su seguridad depende de componentes que Bitcoin no utiliza. La red Bitcoin continuó operando con normalidad durante todo el episodio. Este detalle es crucial porque nos permite contextualizar correctamente el problema: no se trata de una vulnerabilidad de Bitcoin, sino de un fallo en una capa construida para utilizar ese activo bajo reglas y mecanismos diferentes.
Posteriormente, quienes ejecutaron la operación se identificaron como “whitehats” (hackers de sombrero blanco) mediante un mensaje incluido en una transacción de Bitcoin y solicitaron a Blockstream que los contactara. La compañía respondió por la misma vía con los datos de su equipo de seguridad y, según Liquid, la comunicación continuó a través de canales cifrados. Su identidad aún no ha sido verificada, por lo que no se puede asumir que sean hackers éticos solo por su propia afirmación. Sin embargo, declararon que devolverían la mayor parte de los fondos una vez que el fallo fuera corregido.
Blockstream ha comunicado que los fondos pueden ser devueltos. Los controladores de los fondos habían solicitado que el problema se solucionara y que los nodos estuvieran actualizados antes de proceder con el movimiento del dinero. Blockstream respondió posteriormente, a través de un mensaje firmado, que sus nodos puente ya estaban parcheados y que la devolución de los BTC era segura. A partir de este punto, queda la parte aún sin resolver: en la última actualización publicada, los cerca de 4.000 BTC seguían bajo el control de quienes ejecutaron la operación, por lo que la prometida devolución de la mayor parte de los fondos aún no se había materializado.
