Alguien acaba de mover aproximadamente 4,000 BTC fuera de la Red Liquid en una sola transacción de peg-out, dejando atrás un mensaje OP_RETURN que decía esencialmente: “Somos los buenos. Hagamos una pausa.”
La cantidad total, aproximadamente 4,200 BTC vinculados a la transacción, vale alrededor de $320 millones a los precios actuales de Bitcoin cerca de $80,000. Si esto es una misión de rescate o un robo disfrazado de uno es la pregunta que nadie puede responder aún, ya que ni Liquid Network ni su empresa matriz Blockstream han dicho una palabra.
¿Qué sucedió realmente?
El 6 de septiembre, una transacción de peg-out en la Red Liquid movió aproximadamente 4.200 BTC de vuelta a la mainchain de Bitcoin. Alrededor de 4.000 BTC se transfirieron simultáneamente en lo que parece ser una operación coordinada.
Incrustado en la transacción había un mensaje OP_RETURN, un pequeño campo de datos que las transacciones de bitcoin pueden llevar. El mensaje identificaba a las partes detrás de la operación como “white hats” e invitaba a más comunicación en la cadena.
La naturaleza del movimiento sigue siendo genuinamente incierta. No se ha confirmado si se trató de una explotación del modelo de seguridad de la red, una operación autorizada realizada por miembros internos, o algo completamente diferente.
La Liquid Network procesa los peg-outs en lotes que normalmente tardan entre 11 y 35 minutos. El hecho de que este volumen haya atravesado el sistema sin interrupción aparente plantea preguntas importantes sobre cómo se obtuvo la autorización.
Cómo se supone que funciona Liquid Network
Liquid Network es una sidechain de bitcoin construida por Blockstream. Opera bajo lo que se denomina modelo de Federación Fuerte, una forma elegante de decir que un consorcio de entidades verificadas gestiona colectivamente las reservas de bitcoin que respaldan los tokens L-BTC de la sidechain.
La arquitectura de seguridad se basa en un acuerdo multisignatura de 11 de 15. Esto significa que al menos 11 de los 15 funcionarios designados deben autorizar cualquier movimiento del bitcoin subyacente.
Además, el sistema requiere Claves de Autorización de Peg-out, o PAK, para cualquier retiro de vuelta a la cadena principal de bitcoin. Las PAK existen específicamente para reducir el riesgo planteado por funcionarios comprometidos.
El movimiento de 4.200 BTC significa que este modelo de seguridad multicapa fue ignorado, o que la transacción fue autorizada de alguna manera a través de canales legítimos. Ninguna de estas explicaciones es particularmente tranquilizadora sin una declaración oficial.
La pregunta del sombrero blanco
Autoidentificarse como un hacker de sombrero blanco mediante un mensaje en la cadena no es algo sin precedentes. En incidentes anteriores en DeFi, los atacantes han utilizado tácticas similares para negociar la devolución de fondos, a menudo conservando un porcentaje como “recompensa” por identificar la vulnerabilidad. La explotación de Euler Finance en 2023 y el hack de Poly Network en 2021 siguieron ambos este guión.
La variable crítica aquí es la respuesta de Blockstream, o la falta de ella. La empresa no ha emitido ningún comunicado confirmando acceso no autorizado, negando una explotación o reconociendo la transacción en absoluto.
Qué significa esto para la seguridad de la sidechain
Los modelos de sidechain federados como Liquid ocupan un punto intermedio interesante en el ecosistema de bitcoin. No son completamente sin confianza como la capa base de bitcoin, pero tampoco son puramente centralizados. El intercambio es velocidad y funcionalidad a cambio de confiar en un conjunto conocido de validadores.
Si 11 de los 15 funcionarios pueden ser comprometidos o si el sistema PAK puede ser evitado, las suposiciones de seguridad que sustentan Liquid necesitan una reevaluación seria. El modelo de federación funciona solo si la propia federación es segura, y $320 millones acaban de salir por la puerta.
Para los titulares de bitcoin que usan Liquid para transacciones más rápidas, transferencias confidenciales o acceso a activos nativos de Liquid, la preocupación inmediata es práctica: ¿están seguras las reservas restantes? Sin transparencia por parte de Blockstream, esa pregunta cuelga en el aire.