Liquid Network sufrió un importante incidente de seguridad el 6 de septiembre, cuando casi 4.000 BTC, con un valor aproximado de 320 millones de dólares, salieron de su wallet federado. El incidente obligó a la sidechain de Bitcoin a detener sus operaciones mientras Blockstream investigaba el retiro no autorizado.

Liquid, una sidechain de Bitcoin lanzada por Blockstream en 2018, está diseñada para permitir liquidaciones más rápidas y la emisión de activos entre exchanges y traders. Su activo circulante, Liquid Bitcoin (LBTC), está respaldado en una proporción de uno a uno por Bitcoin custodiados en el wallet federado de la red.

Liquid describió a los actores involucrados como "presuntos hackers de sombrero blanco", aunque sus intenciones siguen sin confirmarse. Un mensaje on-chain afirmaba que los atacantes eran sombreros blancos y pedía a la red que se comunicara con ellos. Desde entonces, Blockstream ha intentado establecer comunicación a través de la blockchain.

El incidente ha planteado preguntas inmediatas sobre la seguridad del peg de Bitcoin de Liquid y los controles que rigen los retiros desde su wallet federado.

Liquid detiene la actividad de la red

Los fondos transferidos se movieron mediante una transacción de peg-out que liberó Bitcoin de las reservas que respaldan a Liquid Bitcoin (LBTC). Los datos on-chain mostraron que aproximadamente 3.996 BTC llegaron a una dirección externa de Bitcoin.

En respuesta, Liquid pausó la red y tomó medidas para limitar más actividad. Los exchanges también procedieron a suspender los depósitos y retiros de LBTC mientras continuaba la investigación.

La brecha no involucró un compromiso de la capa base de Bitcoin. En cambio, el incidente se centra en la federación de Liquid y en los mecanismos utilizados para autorizar los peg-outs. Los peg-outs requieren firmas de un umbral de los funcionarios de la red, los miembros de la federación que gestionan colectivamente el wallet multifirma que asegura el Bitcoin enlazado.

Los fondos siguen inciertos

La mayor pregunta sin responder es si el Bitcoin realmente se ha perdido.

El mensaje on-chain sugiere que la parte no identificada podría alegar que retiró los fondos como medida de seguridad. Sin embargo, esa afirmación no ha sido verificada de forma independiente. Hasta que el Bitcoin sea devuelto o los actores presenten pruebas convincentes, los fondos deben tratarse como potencialmente comprometidos.

El incidente también vuelve a poner atención en los riesgos que rodean a los puentes federados de Bitcoin. Liquid depende de un grupo de participantes de la federación para salvaguardar el Bitcoin que respalda los activos de su sidechain.

Para los usuarios e inversionistas, el foco inmediato está en si Blockstream puede recuperar los fondos y determinar cómo ocurrió el retiro no autorizado. El resultado también podría afectar la confianza en Liquid y en otros sistemas que dependen de infraestructura custodial o federada. Los detalles clave a seguir de cerca incluyen si la comunicación con los actores no identificados prospera, cómo fue evitado o manipulado el proceso de firma de la federación, y qué cambios hará Blockstream a los controles de peg-out de la red después de lo ocurrido.