La Red Liquid de Blockstream, una de las sidechains de Bitcoin más antiguas y prominentes, perdió aproximadamente 4.000 BTC, valorados en unos 320 millones de dólares, tras que hackers explotaran una vulnerabilidad en su software subyacente el 6 de septiembre. Las reservas de la federación cayeron de más de 4.200 BTC a aproximadamente 197 BTC en un solo golpe, convirtiéndola en uno de los mayores incidentes de seguridad que involucran una red adjunta a Bitcoin este año.
El lado positivo, si se puede llamarlo así: los atacantes se identificaron como hackers éticos y devolvieron alrededor de 3.400 BTC después de que Blockstream confirmara que había solucionado la vulnerabilidad. Se quedaron con aproximadamente 598 BTC, valorados en aproximadamente $47 millones, como recompensa autoimpuesta.
Cómo funcionó la explotación
La vulnerabilidad existía en el software Elements, la base de código de código abierto que impulsa la Red Liquid. Específicamente, un error en la caché de verificación de range-proof permitió a los atacantes crear tokens de Bitcoin Liquid (L-BTC) inválidos que el sistema aceptó como legítimos. Esos tokens fraudulentos luego se procesaron a través de la Clave de Autorización de Peg-out (PAK) de SideSwap, que los convirtió en retiros reales de BTC desde el monedero de la federación.
Críticamente, ninguna de las claves de la federación fue comprometida durante el ataque. La Red Liquid opera bajo un modelo de multisignatura 11 de 15 de la federación, lo que significa que 11 de 15 entidades designadas deben firmar las transacciones. La multisignatura en sí funcionó correctamente. El problema estuvo en la capa superior: el software que valida lo que se envía a la multisignatura en primer lugar.
Otros activos mantenidos en la Red Liquid, incluyendo USDT y activos del mundo real tokenizados, no se vieron afectados por la explotación. El error era específico para la validación del token L-BTC.
El impacto y la congelación
A pesar de la parcial devolución de fondos, la Liquid Network sigue suspendida. Todas las actividades que involucran L-BTC han sido suspendidas en los exchanges, y no hay una cronología pública sobre cuándo se reanudarán las operaciones normales. Para una red que se lanzó en 2018 con la promesa explícita de proporcionar transacciones más rápidas y confidenciales de bitcoin para traders institucionales, esto representa un golpe significativo a su credibilidad.
Las reservas de la federación cuentan la historia en términos contundentes. Antes del ataque, el monedero contenía más de 4.200 BTC. Después del retorno del white-hat, se encuentra en aproximadamente 3.600 BTC, aún por debajo de los 598 BTC que los hackers conservaron.
El incidente también plantea preguntas incómodas sobre la arquitectura de sidechains federadas en general. El modelo de Liquid confía en un grupo relativamente pequeño de entidades para asegurar el puente entre la cadena principal de Bitcoin y la sidechain. Cuando el software en el que confían esas entidades confiables tiene un error crítico, la propuesta de valor de todo el modelo se ve afectada.
Implicaciones más amplias para la infraestructura de bitcoin
La base de código de Elements, aunque de código abierto y auditables, necesitaba claramente una revisión más rigurosa de su lógica de verificación. Un error de caché en la validación de pruebas de rango es exactamente el tipo de falla sutil y profundamente técnica que puede causar daños catastróficos cuando se descubre.
La base de código de Elements se utiliza más allá de solo Liquid, y cualquier proyecto construido sobre ella deberá demostrar que la misma vulnerabilidad no existe en su implementación.
El enfoque de "sombrero blanco" del ataque, aunque genuino en su resultado, también establece un precedente complicado. Mantener $47 millones en bitcoin como recompensa no solicitada es una práctica que se encuentra en una zona legal gris. Si los reguladores o las fuerzas del orden lo consideran una divulgación responsable o un robo con restitución parcial podría moldear cómo se manejarán incidentes similares en el futuro.