Blockstream anunció el 7 de septiembre que sus nodos puente de la Red Liquid han sido actualizados y asegurados, abriendo el camino para la recuperación de aproximadamente 4,000 BTC, valorados en alrededor de $320 millones, que fueron extraídos fraudulentamente del monedero de la Liquid Federation un día antes.
La explotación, que surgió de un error en el software Elements que sustenta la sidechain Liquid, permitió a un atacante activar una salida válida utilizando L-BTC inválido. Los sistemas automatizados de la federación no pudieron distinguir la diferencia.
¿Qué pasó el 6 de septiembre?
El atacante explotó una vulnerabilidad en el código de Elements para abusar de la Clave de Autorización de Peg-out, o PAK, de SideSwap. Esa clave forma parte del mecanismo que convierte L-BTC (el Bitcoin envuelto de la sidechain Liquid) de nuevo en BTC nativo en la cadena de bloques principal de Bitcoin.
El resultado fue catastrófico para las reservas de la federación. Antes del exploit, el monedero de la Liquid Federation contenía más de 4.200 BTC. Después, esa cifra se desplomó a aproximadamente 197 BTC.
Ese cálculo significa que L-BTC se desvalorizó repentinamente y drásticamente. Por cada token L-BTC en circulación en la Red Liquid, se suponía que había un BTC real que lo respaldaba. Después del exploit, menos del 5% de ese respaldo permanecía en el monedero.
Blockstream actuó rápidamente. Los nodos puente fueron deshabilitados, la actividad de la red se pausó y se instruyó a los exchange para suspender todos los depósitos y retiros de L-BTC para evitar más daños.
Una aclaración importante de Blockstream: ninguna PAK ni clave de federación fue comprometida realmente. La explotación fue completamente un error de software, no una violación de las claves criptográficas que rigen el modelo de seguridad de firma múltiple de la red.
Un canal de negociación muy inusual
Quizás el detalle más llamativo de este incidente es cómo se comunicaron ambas partes. Blockstream y el explotador intercambiaron mensajes mediante transacciones OP_RETURN firmadas con PGP en la propia cadena de bloques de bitcoin.
Para los no técnicos: OP_RETURN es un campo de transacción de Bitcoin que te permite incrustar una pequeña cantidad de datos arbitrarios. En este caso, se convirtió en un sistema de mensajería seguro, público y criptográficamente verificado entre una importante empresa de cadena de bloques y la persona que simplemente agotó sus reservas.
El atacante, a través de estos mensajes en la cadena, indicó la intención de devolver la mayoría de los fondos robados una vez que se confirmara que los sistemas estaban parcheados.
El 7 de septiembre, Blockstream confirmó a través del mismo canal que los parches ya estaban implementados y animó a la devolución rápida de los fondos.
A partir de esa fecha, aproximadamente 3,998.5 BTC no se habían movido desde la dirección del destinatario. La ligera diferencia con los 4,000 BTC originales probablemente refleja las tarifas de transacción generadas durante el exploit mismo.
Daños colaterales y lo que se salvó
Mientras que la explotación devastó las reservas de BTC que respaldan L-BTC, otros activos en la Red Liquid parecen haberse salvado sin daños. USDT y DePix, una stablecoin denominada en real brasileño, operan ambas en Liquid, pero se informó que no se vieron afectadas por el incidente.
La vulnerabilidad era específica del mecanismo de peg-out para L-BTC, no una brecha general del procesamiento de transacciones de la sidechain.
¿Qué viene a continuación?
La prioridad inmediata es la devolución de las aproximadamente 3,998.5 BTC. Si el explotador cumple con la intención declarada, Blockstream puede restaurar la relación de colateral de L-BTC y reanudar las operaciones normales de la Red Liquid.
Las exchange que suspendieron el comercio de L-BTC probablemente mantendrán esas suspensiones hasta que la situación esté completamente resuelta.