Liquid Network ha detenido temporalmente su sidechain después de que unos actores que se identifican como hackers de sombrero blanco retiraran cerca de 4.000 bitcoins, valorados en unos 320 millones de dólares, de la cartera de la Federación. Los responsables mantienen prácticamente intactos los bitcoins al cierre de esta edición y están utilizando la propia blockchain para comunicarse con Liquid y afirmar que los devolverán una vez corregido el fallo.
La magnitud de la operación ha obligado, además de a detener temporalmente la red, a pedir a los exchanges que suspendan depósitos y retiradas de LBTC. Liquid asegura que la retirada se realizó a través del SideSwap PAK (Peg-out Authorization Key), pero sostiene que esa clave no fue comprometida, ni tampoco las demás claves.
Esto plantea cómo fue posible sacar unos 4.000 BTC sin comprometer las claves que deberían proteger el mecanismo de salida. Liquid no ha explicado todavía, en la información facilitada, la naturaleza técnica de la vulnerabilidad.
Somos whitehats
Los responsables de la operación se presentan como hackers de sombrero blanco y han convertido la blockchain de Bitcoin en su canal de comunicación con Liquid. El 6 de septiembre dejaron un mensaje mediante OP_RETURN: Somos whitehats. Contactad con nosotros en cadena. El mensaje aparece en una transacción vinculada a la consolidación de 3.998,49748445 BTC, según los datos de Mempool aportados.
La autodenominación como whitehats no permite concluir que efectivamente lo sean. Pero las siguientes operaciones aportan un elemento poco habitual en incidentes de esta magnitud: los autores dicen que quieren devolver los bitcoins. Horas después apareció otro mensaje en el que piden que se corrija primero el bug y se parcheen todos los nodos. Solo después, aseguran, devolverán el dinero cuando hayan comprobado que el problema está solucionado.
La transacción correspondiente muestra 3.998,49849036 BTC todavía concentrados en la dirección utilizada por los responsables. Esto introduce una diferencia importante respecto a un robo convencional: los fondos no aparecen, en los datos aportados, dispersados entre multitud de direcciones.
4.000 Bitcoin visibles onchain
Una cantidad próxima a los 4.000 bitcoin permanece concentrada y visible onchain. Poco después apareció otro mensaje: Estoy enviando la mayor parte de vuelta a la dirección, ¿está bien? La operación conserva unos 3.998,49848550 BTC en la dirección desde la que se están gestionando los fondos.
De confirmarse la intención expresada en estos mensajes, el incidente podría terminar con la devolución de prácticamente todos los bitcoins. A primera hora del 7 de septiembre, sin embargo, esa devolución completa no puede darse todavía por realizada con las fuentes aportadas.
La magnitud de la retirada se aprecia especialmente en los datos de Mempool. La dirección señalada por Liquid para seguir el incidente presenta al cierre de esta edición un saldo confirmado de 197,47 BTC, con 79 UTXO confirmados. Su historial refleja una brusca caída desde más de 4.000 BTC hasta el nivel actual.
Entre las salidas no gastadas que permanecen en la dirección aparecen cantidades de 43,28 BTC, 40,96 BTC, 27,24 BTC, 17,29 BTC y 8,16 BTC, además de numerosas cantidades menores. Las transacciones permiten observar también el proceso que precedió a la concentración de los fondos. Una operación registra una entrada de 3.995,99999857 BTC, a la que se añaden otros movimientos antes de alcanzar aproximadamente 3.998,5 BTC.
En operaciones anteriores aparecen numerosos movimientos identificados como Liquid Peg Out, algunos de tamaño considerable. Entre ellos figuran salidas de 89,80 BTC, 14,57 BTC, 8,46 BTC y 7,80 BTC. La información onchain permite comprobar los movimientos, pero no explica por sí sola qué vulnerabilidad hizo posible la operación.
Un problema para Liquid que va más allá de recuperar los $320 millones
La reacción de Liquid ha sido paralizar temporalmente la infraestructura. Los nodos del puente han sido desactivados, por lo que no pueden enviarse nuevas transacciones. En la práctica, Liquid reconoce que la sidechain permanece pausada mientras los miembros de la Federación trabajan en resolver el incidente. Los exchanges han sido avisados y han pausado, o se disponen a pausar, los depósitos y retiradas de LBTC.
Liquid asegura que otros activos de la red, como USDT, DePix y RWA, no están afectados por el incidente de seguridad, aunque la paralización de la red tiene consecuencias operativas para sus usuarios y wallets. El incidente afecta a Liquid Network, no al protocolo Bitcoin. De hecho, Bitcoin está funcionando en este caso como registro público tanto de los movimientos de los fondos como de la peculiar conversación entre las partes.
La posible devolución de los bitcoins podría evitar que el incidente termine convertido en una pérdida de unos 320 millones de dólares, pero no resolvería el principal problema que deja el episodio. Liquid tendrá que explicar qué permitió retirar cerca de 4.000 BTC mediante el SideSwap PAK si, como afirma, esa clave no fue comprometida.
Los propios responsables sostienen que existe un bug y reclaman que todos los nodos sean parcheados antes de devolver los fondos. Liquid, por su parte, reconoce el incidente y ha optado por detener la red, pero en la información disponible todavía no ofrece una explicación técnica del fallo.
No se trata únicamente de saber si los bitcoins regresarán. Una infraestructura diseñada para custodiar y mover BTC entre Bitcoin y Liquid ha tenido que ser paralizada después de que alguien consiguiera retirar alrededor de 4.000 BTC sin que, según Liquid, las claves hubieran sido comprometidas.