¿Qué ocurrió exactamente?
El 6 de septiembre se produjo la explotación de una vulnerabilidad en la Liquid Network, operada por la empresa Blockstream. Liquid es la denominada sidechain sobre Bitcoin, donde el L-BTC (Liquid Bitcoin) es un token que debe estar respaldado por bitcoins reales en una proporción 1:1.
Según la descripción de CryptoSlate, el fallo permitió al atacante crear aproximadamente 4.000 L-BTC sin respaldo y, a través del servicio SideSwap, extraer alrededor de 3.996 BTC reales. Dicho de otro modo, el atacante fabricó tokens sin respaldo y los intercambió por bitcoins reales.
Después de que Blockstream implementara una corrección en los nodos afectados (nodes), parte de los fondos fue devuelta.
¿Cuánto dinero se devolvió y cuánto falta?
Según The Defiant, Liquid informó el 8 de septiembre de que el atacante había devuelto 3.400 BTC y que en ese momento quedaban pendientes aproximadamente 598,5 BTC.
| Concepto | Cantidad de BTC | Fuente |
|---|---|---|
| Estimación de los fondos extraídos inicialmente | ~3.996 BTC | CryptoSlate |
| Devuelto por el atacante | 3.400 BTC | The Defiant, Incrypted |
| Pendiente de devolución | ~598,5 BTC | The Defiant, Decrypt |
El valor de la cantidad restante varía ligeramente según cada fuente en función del tipo de cambio en el momento de redactar: Decrypt indica unos 47 millones de dólares, mientras que CryptoSlate habla de unos 50 millones de dólares. Se trata de una estimación que cambia con el precio de Bitcoin.
¿Qué exige el atacante?
Según CryptoSlate, tras devolver los 3.400 BTC, el atacante solicitó una "recompensa" (bounty) del 10 %, que debería pagar Blockstream con sus propios fondos. Al mismo tiempo, habría advertido de que, de lo contrario, los tenedores podrían sufrir una pérdida de aproximadamente el 15 %.
Se trata, por tanto, de una disputa sobre si por la devolución parcial de los fondos robados debe pagarse una recompensa y quién debería asumirla.
¿Cómo reaccionó Blockstream?
Blockstream declaró el 11 de septiembre, en su comunicado en la red X, que no pagará el rescate. Según Incrypted y Decrypt, la empresa calificó la conducta como robo y no como una notificación responsable de una vulnerabilidad.
En traducción del sentido del comunicado (Incrypted): obtener activos sin autorización y negarse a devolverlos es un delito, no una responsible disclosure, y no se trata de una actividad de tipo white hat. El término "white hat" designa a un investigador de seguridad que notifica un fallo y devuelve los fondos, normalmente a cambio de una recompensa acordada de antemano.
Decrypt añade que, si los fondos no son devueltos, Blockstream tiene la intención de recurrir a las autoridades encargadas de hacer cumplir la ley.
¿Por qué es importante?
La disputa es un ejemplo de un debate más amplio en el mundo cripto: cómo debe posicionarse el sector frente a los atacantes que devuelven parte de los fondos y reclaman una "recompensa" por el resto. Blockstream opta por una línea dura y enmarca todo el asunto como un robo, no como una negociación sobre un bug bounty.
¿Qué sigue siendo incierto?
De las fuentes disponibles no se desprende todavía si se han presentado denuncias penales y de qué manera, si el atacante está identificado, ni si se producirá una devolución adicional de los fondos. Tampoco está confirmada cuál sería la pérdida exacta que eventualmente recaería sobre los tenedores de L-BTC. Estos son los puntos que conviene seguir en casos similares.