Por Canuto  

Blockstream se niega a pagar un rescate por los casi 600 BTC que aún controlan los atacantes detrás del exploit de Liquid Network, mientras la sidechain reanuda la producción de bloques y mantiene pausadas algunas operaciones relacionadas con L-BTC y los retiros hacia Bitcoin.
***

  • El exploit permitió crear cerca de 4.000 L-BTC sin el BTC correspondiente y retirar casi 4.000 BTC de las reservas de Liquid.
  • La federación recuperó unos 3.400 BTC, equivalentes a cerca de 85% del bitcoin retirado, pero 598,5 BTC permanecen en una dirección controlada por los atacantes.
  • Blockstream corrigió la vulnerabilidad con Elements v23.3.4 y advirtió que pagar sentaría un precedente dañino para el software abierto.

Blockstream rechazó pagar un rescate por los 598,5 BTC que todavía permanecen bajo el control de los atacantes responsables del exploit de Liquid Network. La empresa, desarrolladora de infraestructura para Bitcoin, sostiene que el incidente no puede considerarse una operación de hacking ético o white-hat, pese a que el grupo devolvió la mayor parte de los fondos sustraídos.

El caso combina una falla técnica de gran alcance con una disputa sobre responsabilidades dentro del ecosistema de código abierto. Mientras Liquid intenta normalizar parcialmente su funcionamiento, Blockstream defiende que sus desarrolladores no deben asumir un pago multimillonario para reparar las consecuencias de una vulnerabilidad explotada por terceros.

El exploit vació las reservas de Liquid

El incidente ocurrió el 6 de septiembre en Liquid Network, una sidechain de Bitcoin desarrollada por Blockstream. Los atacantes aprovecharon una vulnerabilidad que les permitió crear aproximadamente 4.000 L-BTC sin depositar el BTC que debía respaldar esos tokens, alterando así el mecanismo de equivalencia uno a uno utilizado por la red.

Después de acuñar los L-BTC, el grupo los envió mediante la infraestructura de peg-out de SideSwap y recibió casi 4.000 BTC reales procedentes de las reservas de la Liquid Federation. La operación golpeó directamente el fondo que sostiene la convertibilidad de los activos emitidos en la sidechain, en lugar de limitarse a comprometer una cuenta individual.

La cartera de la federación contenía aproximadamente 4.200 BTC antes del ataque, por lo que el exploit consumió cerca de 95% de sus reservas. En el momento del incidente, esos fondos tenían un valor aproximado de USD $320 millones, una magnitud que elevó el episodio por encima de un problema operativo aislado.

Liquid Network utiliza L-BTC para representar BTC dentro de su entorno, y cada unidad en circulación debe contar con un respaldo equivalente custodiado por la federación. Cuando los atacantes generaron tokens sin el depósito correspondiente, la relación entre los activos emitidos y las reservas disponibles quedó gravemente deteriorada.

La recuperación deja un déficit pendiente

El grupo responsable del exploit devolvió una parte sustancial de los fondos al día siguiente. El 7 de septiembre, aproximadamente 3.400 BTC regresaron a la Liquid Federation, cifra equivalente a cerca de 85% del Bitcoin tomado durante la operación.

Sin embargo, la devolución no cubrió la totalidad del faltante. Alrededor de 598,5 BTC permanecieron en una dirección controlada por los atacantes. Frente a los aproximadamente 4.200 BTC que la federación tenía antes del incidente, el saldo recuperado no repone por completo las reservas originales; además, la proporción exacta de respaldo de los L-BTC depende del volumen de tokens que continúe en circulación.

La información publicada por U.Today señala que Samson Mow, exdirector de estrategia de Blockstream, ofreció actualizaciones periódicas sobre el proceso. Según Mow, la producción de bloques de Liquid se reanudó después de la intervención.

La normalización operativa no elimina el problema patrimonial que dejó el ataque. Aunque la infraestructura pueda producir bloques nuevamente, las transferencias de L-BTC y las operaciones de peg-out continuaban pausadas según la información disponible, mientras la diferencia entre los activos emitidos y el BTC custodiado seguía representando una deuda pendiente para el sistema.

Blockstream rechaza el rescate

Blockstream afirmó que no pagará una recompensa para recuperar los fondos restantes y rechazó la idea de que el atacante merezca ser tratado como un investigador white-hat. Para la empresa, permitir que el grupo conserve una cantidad tan elevada de BTC convertiría un ataque exitoso en un modelo de negociación aplicable a otros proyectos de software abierto.

La compañía argumentó que aceptar esa dinámica impondría a los desarrolladores una obligación económica desproporcionada frente a su participación financiera en el proyecto. En una declaración citada por U.Today, Blockstream sostuvo: “No seremos parte del precedente de que el software de código abierto desarrollado para el bien de la comunidad de Bitcoin deba someter a sus desarrolladores a pagar un rescate que excede con creces su participación económica”.

La empresa también vinculó su postura con las propiedades monetarias de Bitcoin. “Bitcoin es dinero duro y no puede acuñarse sin costos”, afirmó Blockstream, antes de añadir: “Bitcoin no recorta a sus usuarios para pagar un rescate”.

La posición deja abierta una discusión relevante para las redes que dependen de mecanismos federados, contratos operativos y reservas custodiadas. Si un atacante devuelve parte de los fondos después de explotar una falla, el proyecto debe decidir si la devolución parcial cambia la naturaleza del incidente o si sigue siendo un robo que no merece compensación.

Una puerta abierta para devolver los fondos

Como parte de la respuesta técnica, Blockstream publicó Elements v23.3.4 para corregir la vulnerabilidad explotada. La actualización permitió avanzar con la recuperación controlada de Liquid Network, cuya producción de bloques se reanudó después de la intervención.

La empresa no presentó el regreso de la producción de bloques como una solución completa al déficit de reservas. El sistema puede funcionar nuevamente en algunos aspectos, pero los 598,5 BTC pendientes mantienen una brecha concreta en el respaldo de los activos de Liquid.

Blockstream también recordó que las transacciones de Bitcoin quedan registradas de forma permanente en una blockchain pública. “Las transacciones no desaparecen, y tampoco la evidencia que dejan”, advirtió la compañía al referirse a los movimientos asociados con los fondos sustraídos.

A pesar de su negativa a pagar, la empresa dejó abierta la posibilidad de que los atacantes devuelvan las monedas restantes sin una escalada adicional. “Aún hay una oportunidad de resolver esto de manera responsable”, afirmó Blockstream, en una invitación que mantiene el desenlace del caso sujeto a la decisión del grupo que conserva los fondos.

El episodio muestra cómo una falla de emisión puede comprometer rápidamente la confianza en una sidechain, incluso cuando la infraestructura recupera parte de su actividad. La corrección del software atiende la vulnerabilidad, pero la recuperación económica y la reconstrucción de la cobertura de los L-BTC siguen siendo asuntos separados.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados