Una brecha en Bitcoin ha vaciado casi por completo una de las reservas más vigiladas del ecosistema, y la historia tiene un giro extraño. Alrededor de 4.000 BTC salieron de la cartera federada de Liquid, la red vinculada a Bitcoin desarrollada por Blockstream, y los responsables del movimiento aseguran que devolverán casi todo. Pero solo cuando el fallo esté corregido. El valor de esos fondos rondaba los 280 millones de euros en el momento del incidente.
Qué pasó realmente en Liquid
El 6 de septiembre los responsables de la red comunicaron que unos 4.000 BTC habían abandonado la cartera federada, que hasta entonces custodiaba cerca de 4.200. Hablamos de casi el 95% de esos fondos. La reacción fue inmediata: desactivaron los nodos puente y pidieron a los exchanges que suspendieran depósitos y retiradas de L-BTC mientras trataban de entender qué había ocurrido.
Conviene aclarar algo antes de seguir. Liquid no es Bitcoin. Aunque estén conectadas, son redes distintas. Liquid es una sidechain, una cadena separada pensada para mover activos vinculados a Bitcoin con más rapidez y algunas funciones extra. Para usarla, los BTC se bloquean en la red principal y, a cambio, se emite en Liquid una cantidad equivalente de L-BTC. La relación es de uno a uno, así que cada L-BTC debería corresponderse con un Bitcoin real inmovilizado fuera de esa cadena. De ahí la necesidad de que la federación custodie una reserva.
Dónde estuvo el fallo y quién movió el dinero
La salida de fondos desde Liquid pasa por un peg-out, una operación que solo pueden iniciar miembros de la Federación. En este caso, un cliente envió 4.000 L-BTC a SideSwap, un servicio autorizado, y la operación se procesó como válida. La federación acabó liberando unos 3.996 BTC. Todo aparentemente en regla.
Link affiliatoEl problema estaba antes. Según la reconstrucción de SideSwap, el fallo no estuvo en la retirada, sino en los propios L-BTC que llegaron hasta la plataforma. Blockstream le comunicó que aquellas 4.000 unidades se habían creado a partir de un fallo de Elements, el software que sostiene Liquid. Si esa explicación se confirma, el mecanismo de salida no detectó nada raro porque recibió activos que el sistema ya daba por buenos. Liquid asegura que la PAK de SideSwap no fue comprometida, y SideSwap sostiene lo mismo de sus sistemas.
Importa dejar claro un matiz. Bitcoin no fue vulnerado. La brecha no ocurrió en la cadena principal, sino en una infraestructura separada, basada en Elements y administrada por una federación. La red Bitcoin funcionó con normalidad durante todo el episodio.
Después llegó un mensaje curioso. Quienes ejecutaron la operación se presentaron como whitehats, hackers de sombrero blanco, mediante una transacción de Bitcoin, y pidieron a Blockstream que los contactara. La empresa respondió por la misma vía y, según Liquid, la conversación siguió por canales cifrados. Su identidad no está verificada, así que nadie puede asumir que sean hackers éticos solo porque lo digan. Lo que sí afirmaron es que devolverían la mayor parte de los fondos una vez corregido el fallo.
Blockstream respondió con un mensaje firmado asegurando que sus nodos puente ya estaban parcheados y que era seguro devolver los BTC. En la última actualización publicada, esos cerca de 4.000 BTC seguían bajo control de quienes ejecutaron la operación, y la prometida devolución todavía no se había materializado.
Link affiliatoFuente
Imagen: xataka.com