El domingo 6 de septiembre, un actor desconocido sustrajo cerca de 4.000 bitcoins de la red Liquid, una sidechain de Bitcoin diseñada para respaldar el token L-BTC. Sin embargo, el lunes siguiente, el atacante devolvió aproximadamente 3.400 bitcoins, según revela el registro público de Bitcoin. Aún quedan sin devolver unos 598,5 bitcoins, que no se transfirieron en un pago separado, sino que representan el cambio de la transacción original, enviado de vuelta a la dirección de origen.
La red Liquid sigue en pausa, lo que impide a los titulares convertir sus tokens L-BTC de vuelta a bitcoins reales. La devolución de los fondos se realizó a una dirección de la Federación Liquid a las 16:09 UTC del 7 de septiembre, mientras que el resto permanecía en la cartera de origen hasta el 8 de septiembre, según el explorador de bloques mempool.space. Ni Blockstream ni Liquid Network han confirmado si parte de estos fondos son parte de un acuerdo con los atacantes.
En un aviso oficial, Blockstream, la empresa que desarrolla la tecnología de Liquid, señaló que los atacantes afirmaban ser 'sombreros blancos' y se llevaron alrededor de 4.000 BTC del monedero de la federación, lo que en ese momento representaba aproximadamente 320 millones de dólares. Los fondos sustraídos suponían cerca del 95% de las reservas de bitcoin de Liquid, que previamente ascendían a unos 4.200 BTC, según informó The Block. Al precio de unos 78.000 dólares por bitcoin el 8 de septiembre, los 3.400 BTC devueltos equivalen a unos 265 millones de dólares, mientras que los 598,5 BTC restantes tienen un valor cercano a los 47 millones de dólares.
La operación se llevó a cabo mediante la Clave de Autorización de Peg-Out de SideSwap, uno de los mecanismos que permite liberar fondos de la sidechain. Blockstream indicó que ni esta clave ni ninguna otra se vieron comprometidas, sino que una vulnerabilidad en el software Elements, sobre el que se ejecuta Liquid, provocó la creación de L-BTC no respaldados. SideSwap también ha declarado que ni sus sistemas ni sus claves fueron comprometidos, y que el fallo fue originado por un bug en Elements. Aunque Blockstream no comunicó inicialmente la naturaleza exacta del fallo, los atacantes y los responsables de Liquid intercambiaron mensajes públicos en la cadena de bloques de Bitcoin. Los atacantes afirmaron ser 'sombreros blancos' y solicitaron que se corrigiera la vulnerabilidad antes de devolver los fondos. Blockstream respondió con un mensaje firmado indicando que sus nodos puente ya estaban parcheados y que los fondos podían devolverse de forma segura.
Tras el intercambio de mensajes, a las 15:31 UTC del 7 de septiembre se confirmó una transacción que enviaba 0,00001 BTC (1.000 satoshis) a la dirección de la federación junto con un mensaje cifrado con PGP, cuyo contenido no es público. La posterior devolución de los 3.400 BTC se confirmó solo 38 minutos después. Blockstream ha confirmado que ya ha desplegado el software actualizado y que los miembros de la federación están preparando un reinicio coordinado de la red, tal y como recoge Unchained.
Sin embargo, no todos aceptan la etiqueta de 'sombreros blancos'. Charles Guillemet, director de tecnología de Ledger, ha rechazado esta denominación, afirmando que si retener cerca de 600 bitcoins es una 'recompensa' negociada a través de mensajes cifrados en la cadena de bloques, la situación se asemeja más a una extorsión.
Por su parte, Samson Mow, CEO de JAN3 y ex ejecutivo de Blockstream, ha instado a los usuarios a no enviar bitcoins a las direcciones de peg-in de Liquid, utilizadas para crear L-BTC, hasta que se confirme el reinicio de la red. Blockstream ha asegurado que otros activos emitidos en Liquid, como USDT y DePix, no se ven afectados. La página de estado de Blockstream aún mostraba el incidente como activo el 8 de septiembre, con sus nodos puente públicos inactivos y sin actualizar la información sobre la devolución parcial o las reservas actuales de bitcoin que respaldan a L-BTC.
