Hackers de Liquid prometen devolver la mayor parte de los 4.000 BTC tras corregir el error

Un retiro de aproximadamente 4.000 BTC paralizó Liquid Network, pero los supuestos hackers white hat aseguran que devolverán la mayor parte de los fondos cuando Blockstream confirme que todos los nodos fueron parcheados.

***

• Los atacantes retiraron aproximadamente 4.000 BTC, valorados entonces en unos USD $320 millones, desde una wallet de la Liquid Federation.
• Blockstream afirmó mediante un mensaje firmado que los nodos del puente ya fueron parcheados y que era seguro devolver los fondos.
• Liquid mantiene pausada la actividad de la red, mientras los exchanges suspendieron los depósitos y retiros de LBTC.

 

---

 

Los supuestos hackers de sombrero blanco que retiraron aproximadamente 4.000 bitcoins (BTC) de una wallet de la Liquid Federation ofrecieron devolver la mayor parte de los fondos, aunque condicionaron la operación a la corrección completa de la vulnerabilidad que permitió el incidente.

La promesa surgió durante una comunicación directa con Blockstream mediante mensajes OP_RETURN en la red de Bitcoin y texto cifrado con PGP. Al momento de los reportes, los fondos continuaban en una wallet controlada por los atacantes.

Una negociación directamente en Bitcoin

El incidente comenzó durante el fin de semana, cuando una transacción sacó cerca de 4.000 BTC de la wallet federativa de Liquid Network. Para el 6 de septiembre, el monto equivalía a unos USD $320 millones y representaba aproximadamente 95% del Bitcoin que estaba vinculado a su sidechain. La red reaccionó deshabilitando sus nodos de puente y pausando distintas operaciones asociadas con LBTC.

Blockstream intentó contactar a la parte responsable mediante una transacción incluida en el bloque 965.822, con una transferencia de 1.000 satoshis y un mensaje OP_RETURN dirigido al equipo de seguridad. Después, la empresa envió material cifrado para la clave del destinatario junto con una firma PGP, cuya validez podía comprobarse contra la clave pública de seguridad publicada por Blockstream.

La respuesta llegó en otra transacción de Bitcoin, en la que el atacante trasladó su propio saldo y dirigió 1.000 satoshis a la wallet de peg de la federación. El mensaje preguntaba si sería aceptable enviar de regreso la mayor parte de los fondos, pero advertía que la devolución no ocurriría hasta que el error quedara corregido en toda la red.

En un mensaje incluido en el bloque 965.875, la parte exigió que Blockstream arreglara primero la vulnerabilidad y comprobara que cada nodo estuviera parcheado. Posteriormente, Blockstream envió un mensaje firmado en la cadena que decía: “Los nodos del puente están parcheados, es seguro devolver los fondos“. La firma utilizada para autenticarlo coincide con la clave de seguridad publicada por la empresa.

El origen técnico del retiro

El retiro utilizó la SideSwap Peg-out Authorization Key, aunque Liquid sostuvo que esa clave no fue comprometida. SideSwap explicó que la transacción involucró 4.000 L-BTC enviados a su servicio de peg-out, que quemó los tokens utilizando una autorización válida. Después de ese proceso, la Liquid Federation pagó 3.996 BTC a la dirección de Bitcoin del cliente.

La diferencia entre los 4.000 L-BTC enviados y los 3.996 BTC pagados aparece en la descripción del flujo de la transacción ofrecida por SideSwap. La plataforma insistió en que ni sus sistemas ni su clave de autorización de peg-out fueron comprometidos. Según la explicación difundida, el elemento decisivo fue que los L-BTC habían sido creados mediante un error en el software Elements.

Elements es el software sobre el que se apoya la infraestructura de Liquid, por lo que una falla en su lógica puede afectar la emisión o validación de activos vinculados dentro de la red. En este caso, el problema permitió que los tokens llegaran al servicio de SideSwap con una autorización de peg-out que la plataforma consideró válida. Blockstream vinculó posteriormente esa situación con un error del software.

SideSwap dijo que sus swaps, peg-ins y peg-outs permanecerían pausados hasta que la red reanudara sus operaciones. Liquid, por su parte, mantuvo deshabilitados los nodos del puente y pidió a los exchanges suspender los depósitos y retiros de LBTC. Estas medidas buscan impedir que nuevas operaciones interactúen con la infraestructura antes de completar la respuesta de seguridad.

Una devolución todavía incierta

Aunque los atacantes se describieron como white hats, Liquid utilizó hasta ahora la fórmula de supuestos hackers de sombrero blanco. La expresión refleja que la intención declarada de devolver los fondos no equivale a una garantía contractual ni confirma quiénes son los responsables. Además, la frase “la mayor parte” deja abierta la cantidad exacta que pretenden conservar.

Alex Thorn, jefe de Galaxy Research, reconstruyó el intercambio en la cadena y señaló que las partes usaron mensajes OP_RETURN y comunicaciones cifradas con PGP. La negociación es inusual porque una extracción cercana a USD $320 millones normalmente exige cooperación rápida entre la víctima, los operadores de infraestructura y los exchanges. En este caso, los atacantes tomaron la iniciativa de fijar una condición técnica antes de transferir los BTC.

Charles Guillemet, director de tecnología de Ledger, cuestionó inicialmente que un white hat convencional drenara cientos de millones de dólares de un puente. Comparó el episodio con exploits anteriores, incluidos los casos de Ronin y Euler, en los que la recuperación de fondos y la identificación de los responsables también se convirtieron en asuntos centrales.

Guillemet modificó después su postura al conocer los intentos de comunicación con Blockstream. El ejecutivo argumentó que los grupos criminales no suelen esforzarse por establecer contacto con sus víctimas y planteó que todavía existía esperanza. También consideró posible que los responsables hubieran utilizado sistemas avanzados de inteligencia artificial para localizar la vulnerabilidad sin seguir procedimientos adecuados de divulgación.

Por ahora, casi todo el Bitcoin permanece bajo control de los atacantes y la red continúa detenida mientras los participantes evalúan el parche. La promesa de devolución dependerá de que la corrección alcance todos los nodos y de que la parte responsable cumpla su compromiso, dos condiciones que aún no se han verificado mediante la transferencia de regreso.

La situación también deja una advertencia para los sistemas que conectan activos de una sidechain con Bitcoin: una autorización válida en una etapa del proceso no garantiza que la emisión original haya sido legítima. Mientras Liquid y SideSwap mantienen suspendidas sus operaciones, el mercado espera confirmar si la negociación terminará con la recuperación de la mayor parte de los fondos o con una pérdida permanente.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.