El 6 de septiembre de 2026, aproximadamente 4,000 BTC salieron del monedero de la federación de la Liquid Network a través de una vulnerabilidad que, a primera vista, parecía una transacción perfectamente normal. Sin alarmas, sin claves rotas, sin intrusión obvia. Solo una peg-out procesada por SideSwap que drenó silenciosamente lo que en ese momento valía alrededor de $320 millones.
Al día siguiente, 3.400 de esos Bitcoin habían regresado. Aproximadamente 598,5 BTC, con un valor de unos $47 millones, no lo han hecho.
¿Qué pasó realmente?
La vulnerabilidad existía dentro de Elements, el software de código abierto en el que se ejecuta Liquid y que a su vez deriva de Bitcoin Core. La vulnerabilidad permitía a alguien generar tokens L-BTC no respaldados, esencialmente imprimiendo reclamaciones sobre bitcoin sin ningún colateral real detrás de ellas. Críticamente, ninguna de las claves privadas de la federación fue comprometida, y la infraestructura de SideSwap no mostró signos de alteración. El retiro se realizó a través de canales de autorización estándar, lo que precisamente lo hizo tan difícil de detectar en tiempo real.
Los actores que ejecutaron el drenaje se identificaron posteriormente como hackers de sombrero blanco. Eligieron un método de comunicación adecuado a la marca: el campo OP_RETURN de Bitcoin, un componente de las transacciones de Bitcoin utilizado típicamente para mensajes pequeños, combinado con texto cifrado con PGP.
Blockstream confirmó que parchó los nodos del puente afectados el 7 de septiembre. Poco después de esa confirmación, 3,400 BTC regresaron a la dirección de la federación. Los 598.5 BTC restantes permanecieron en su lugar, con negociaciones descritas como en curso.
Recompensa o extorsión
La pregunta que pesa sobre la recuperación no es sutil. Devolver el 85% de la suma mientras se mantiene pendiente $47 millones para más negociaciones se encuentra en un territorio ambiguo.
Charles Guillemet, CTO de Ledger, señaló públicamente la tensión entre el marco de actores de sombrero blanco y el tamaño de lo que retuvieron.
Por ahora, la Liquid Network permanece pausada. Se ha instruido a las exchanges que admiten L-BTC que suspendan tanto los depósitos como los retiros, dejando a los usuarios que poseen el activo de la sidechain en una situación de espera sin una línea de tiempo clara para la reanudación.
Por qué la arquitectura de Liquid hizo esto posible
Liquid es una sidechain federada, lo que significa que su modelo de seguridad se basa en un consorcio de funcionarios en lugar de un conjunto descentralizado de validadores. Los activos se mueven entre la cadena principal de Bitcoin y Liquid mediante un peg de dos vías: deposita BTC, recibe L-BTC en la sidechain; rescata L-BTC, recibe BTC de nuevo en la cadena principal. La federación controla colectivamente las claves que autorizan esos rescates.
El incidente del 6 de septiembre demostró que la lógica de autorización del mecanismo de pegación era vulnerable a nivel de software, incluso cuando las claves criptográficas en sí mismas permanecían intactas.
Blockstream no ha revelado la naturaleza precisa de la vulnerabilidad de Elements. Los nodos puente están parcheados, según el comunicado de Blockstream, pero la sidechain no ha reanudado sus operaciones.