Los actores que retiraron aproximadamente 4.000 Bitcoin de las reservas de Liquid han devuelto 3.400 BTC a la cartera de la federación después de que Blockstream implementara correcciones para la vulnerabilidad de software vinculada al incidente. El reembolso restaura aproximadamente el 85 % del Bitcoin retirado del respaldo de la sidechain, mientras que unos 598 BTC permanecen fuera del control de la federación.
El Bitcoin devuelto tenía un valor aproximado de 270 millones de dólares según las cotizaciones citadas durante el incidente. Los registros en cadena muestran que se enviaron 3.400 BTC de vuelta a la cartera de la federación de Liquid, después de que los actores comunicaran que devolverían la mayor parte de los fondos una vez parcheados los nodos de puente afectados.
Liquid sigue detenida mientras los miembros de la federación preparan un reinicio coordinado, según Blockstream. Samson Mow, director ejecutivo de JAN3, afirmó que Blockstream había confirmado la aplicación de parches en los nodos afectados y que continuaba comunicándose con los actores durante la interrupción.
Liquid es una sidechain de Bitcoin que emite L-BTC, un token diseñado para estar respaldado por Bitcoin custodiado por su federación. La retirada del domingo redujo considerablemente esa reserva: se retiraron aproximadamente 4.000 BTC de una cartera que contenía unos 4.200 BTC. Por tanto, la recuperación devuelve la mayor parte de la garantía que respalda L-BTC, aunque el déficit restante deja al sistema con menos Bitcoin que antes del exploit.
Ha regresado la mayor parte de la reserva retirada
La recuperación se produjo tras una inusual negociación pública llevada a cabo parcialmente mediante mensajes firmados incrustados en transacciones de Bitcoin. Blockstream contactó con los actores a través de esos mensajes, y estos respondieron que devolverían los fondos después de corregir la vulnerabilidad y de que todos los nodos de la federación hubieran instalado el software actualizado.
Esa condición supeditó la devolución a cambios operativos dentro de Liquid, en lugar de a un simple reembolso voluntario. Blockstream afirmó que se había implementado el software actualizado, mientras que Mow señaló que la federación también estaba introduciendo mejoras de seguridad adicionales, resolviendo una bifurcación de la cadena y preparando los sistemas para el reinicio de la red.
Una bifurcación de la cadena ocurre cuando distintos nodos reconocen versiones enfrentadas del historial de transacciones de una blockchain. En una sidechain federada como Liquid, resolver una bifurcación de este tipo es necesario para que las transferencias normales puedan reanudarse de forma coherente en toda la red.
Mow advirtió a los usuarios que no enviaran Bitcoin a las direcciones de ingreso a Liquid hasta que el reinicio se confirmara oficialmente. Un ingreso es el proceso de enviar Bitcoin a Liquid a cambio de L-BTC. Dijo que los usuarios no tenían que realizar ninguna otra acción mientras la federación completa las labores de recuperación.
La pausa limita los riesgos inmediatos del puente afectado, pero también deja a los usuarios de L-BTC a la espera de confirmación de que los depósitos, retiros y las operaciones normales de la sidechain puedan reanudarse de forma segura.
Un fallo de Elements identificado como el origen
Liquid y SideSwap dijeron que el retiro original se procesó utilizando la clave de autorización de salida de SideSwap. Una salida es lo contrario de un ingreso: se canjea L-BTC y se libera Bitcoin de la reserva de Liquid.
SideSwap dijo que su clave de autorización no había sido comprometida. En su lugar, afirmó que el L-BTC utilizado en el retiro se originó a partir de un fallo en Elements, el software de código abierto que sustenta Liquid. Blockstream ha desarrollado Elements, que proporciona la tecnología utilizada para las transacciones confidenciales de Liquid y la emisión federada de activos.
Esta distinción delimita la vía denunciada del incidente. Las declaraciones disponibles apuntan a un fallo de software que afectó a la creación o gestión de L-BTC, en lugar del robo de una clave de firma que controlara directamente la reserva de Bitcoin de la federación.
También explica por qué los actores se centraron en aplicar parches en los nodos del puente antes de devolver los fondos. Si una vulnerabilidad permaneciera activa en parte de la red, un saldo devuelto podría seguir expuesto a otro intento de retiro.
El episodio centra la atención en la complejidad operativa de las sidechains vinculadas a Bitcoin. El diseño de Liquid permite transferencias más rápidas y privadas que la capa base de Bitcoin, pero también depende de una federación, software especializado y un mecanismo de vinculación que debe mantener con precisión la relación entre el L-BTC en circulación y el Bitcoin mantenido en reserva.
Disputa sobre la descripción de «white hat»
Los actores han sido descritos como hackers white hat porque devolvieron la mayor parte del Bitcoin después de que se solucionara el fallo. Esa descripción ha recibido críticas porque cientos de Bitcoin siguen bajo su control.
Charles Guillemet, director de tecnología de Ledger, cuestionó si el término es aplicable cuando los actores conservan aproximadamente 600 BTC como una supuesta recompensa negociada mediante comunicaciones cifradas en la cadena. Dijo que tal acuerdo se parecería más a una extorsión que a una divulgación de seguridad convencional.
Ni Blockstream ni Liquid han calificado públicamente los bitcoins pendientes como una recompensa. No han revelado las condiciones de reembolso, un acuerdo formal de recompensa ni las condiciones vinculadas a los aproximadamente 598 BTC que no han sido devueltos.
La diferencia es considerable. Según la valoración aproximada utilizada en los informes sobre el incidente, 598 BTC representarían alrededor de 47 millones de dólares. Dejar esa cantidad sin resolver significa que la recuperación aún no puede considerarse una restauración completa de la reserva, aunque se haya devuelto la mayoría de los fondos.
Las recuperaciones de hackers éticos suelen implicar un proceso de divulgación claro y una devolución definida de los activos, a veces seguida de una recompensa por errores acordada públicamente. Este caso se desarrolló de otra manera: los actores obtuvieron primero el control de una gran parte de la reserva de Bitcoin de Liquid y después condicionaron el reembolso a la implementación de correcciones, mientras una parte de los fondos seguía sin devolverse.
El reinicio pondrá a prueba el proceso de recuperación de Liquid
La próxima prueba práctica será el reinicio de la federación. Blockstream y Liquid deberán restablecer el servicio demostrando que los nodos corregidos funcionan de forma coherente y que el mecanismo de vinculación puede volver a procesar depósitos y retiros de Bitcoin sin reproducir el fallo.
Los usuarios que estén considerando realizar un peg-in se enfrentan a una limitación sencilla hasta que se complete ese trabajo: los bitcoins enviados a una dirección de depósito de Liquid no deberían enviarse hasta que la federación confirme formalmente el reinicio. La advertencia de Mow refleja el hecho de que la seguridad de un puente depende tanto de su software como del estado coordinado de los nodos participantes.
El incidente no afectó al sistema de consenso de la capa base de Bitcoin ni a los monederos de Bitcoin ajenos al peg de Liquid. En cambio, puso de manifiesto riesgos específicos de los sistemas que bloquean Bitcoin en una red y emiten una representación correspondiente en otra.
La recuperación parcial de Liquid ha reducido drásticamente el déficit inmediato de la reserva, pero los 598 BTC aún sin resolver y las condiciones que rodean su posible devolución seguirán siendo fundamentales para las consecuencias del incidente. El reinicio de la federación, su explicación de la vulnerabilidad de Elements y su gestión de los fondos restantes determinarán si el incidente termina como un exploit recuperado en gran medida o como un déficit permanente en el respaldo de Liquid.
Para proteger mejor tus fondos después de incidentes como este, aprende las principales prácticas de seguridad cripto que todo trader debería conocer hoy.
Aviso legal: El contenido de esta página se proporciona únicamente con fines informativos generales y no representa las opiniones ni el asesoramiento financiero de Toobit. No garantizamos la exactitud o integridad de esta información y no asumimos responsabilidad por ningún error, omisión o resultado derivado de su uso. Invertir en activos digitales implica riesgos; los usuarios deben evaluar de forma independiente su situación financiera y los riesgos involucrados. Para obtener más información, consulte nuestros Términos del servicio y Divulgación de riesgos.
