Liquid Network recupera 3,400 BTC tras exploit de puente

Liquid Network ha recuperado 3,400 $BTC — con un valor de aproximadamente $269.2 million — de los hackers autodenominados white-hat detrás de un retiro de 4,000 $BTC, aunque casi $47 million en Bitcoin siguen pendientes.

85% del Bitcoin retirado fue devuelto

Los datos on-chain muestran que los actores devolvieron 3,400 $BTC, valorados en aproximadamente $268.2 million al momento de la confirmación, a la cartera de Liquid Federation en el bloque de Bitcoin 965,950. La transferencia recuperó alrededor del 85% de los fondos retirados, mientras que 598.5 $BTC, con un valor de aproximadamente $47 million, permanecían en la dirección de los actores.

Blockstream había dicho previamente al grupo, mediante un mensaje de transacción firmado, que sus nodos de puente habían sido parcheados y que los fondos eran “safe to return.” Los actores no han explicado públicamente por qué retuvieron las monedas restantes ni han indicado si seguirá otro reembolso.

El incidente comenzó el domingo cuando un cliente envió 4,000 Liquid Bitcoin (L-$BTC) al servicio de peg-out de SideSwap, que permite a los usuarios mover valor desde la sidechain de Liquid de regreso a la red de Bitcoin mediante un proceso de retiro autorizado.

Más tarde, los actores se identificaron como “whitehats” en un mensaje adjunto a una transacción de Bitcoin. Los hackers white-hat suelen encontrar y reportar debilidades de seguridad para que los desarrolladores puedan corregirlas, a menudo recibiendo una recompensa bajo términos acordados con el proyecto afectado. Sin embargo, no existe ningún acuerdo divulgado públicamente que establezca que los actores de Liquid tenían permiso para retirar los fondos, y ni Blockstream ni los actores han publicado términos que otorguen una recompensa o permitan al grupo retener casi 600 $BTC.

Como informó crypto.news antes de la devolución, los actores habían ofrecido devolver “most” del Bitcoin una vez que Blockstream corrigiera la vulnerabilidad. En ese momento, no se había confirmado ningún reembolso, y el retiro representaba cerca del 95% del Bitcoin que, según se informó, estaba en la cartera federada de Liquid.

Mensajes on-chain precedieron el reembolso de 3,400 $BTC

La comunicación entre Blockstream y los actores se realizó mediante mensajes adjuntos a transacciones de Bitcoin, lo que permitió a ambas partes intercambiar instrucciones sin depender de un servicio de mensajería privado.

En uno de esos mensajes, los actores dijeron a Blockstream que reparara la falla antes de devolver el Bitcoin:

“Please fix the bug first,” decía el mensaje. “The chain is under risk at latest commit right now. Make sure every node is patched. Then we will transfer the money back safely after confirming the fix.”

Tras esa confirmación, los actores enviaron 3,400 $BTC a la dirección de Liquid Federation. El intercambio muestra que el reembolso dependió de que los actores aceptaran la afirmación de Blockstream de que los nodos afectados estaban seguros, aunque ninguna de las partes ha publicado un informe técnico que identifique la falla o explique cómo fue posible el retiro.

Después de detectar la transacción, Liquid deshabilitó sus nodos de puente y pidió a los exchanges suspender los depósitos y retiros de L-$BTC. El cierre restringió el movimiento entre Liquid y la capa base de Bitcoin mientras los desarrolladores investigaban el incidente y aplicaban el parche.

Según Reuters, Blockstream ha dicho que la clave utilizada durante el retiro no fue comprometida. La empresa no ha publicado un post-mortem completo que detalle si la falla afectó a SideSwap, al software del puente, a la base de código Elements de Liquid o a otra parte del proceso de peg-out.

El episodio es el más reciente de una larga serie de incidentes de seguridad relacionados con puentes. Los puentes cross-chain se han ubicado repetidamente entre las mayores pérdidas cripto registradas — la brecha de Ronin Network en 2022 provocó aproximadamente $600 million en activos robados, y el exploit del puente Wormhole ese mismo año generó pérdidas de alrededor de $325 million — reflejando el riesgo sistémico que introducen las capas de custodia y procesamiento de mensajes cuando los activos se bloquean en una cadena y se representan en otra.

El CTO de Ledger cuestiona la descripción de white-hat

Charles Guillemet, Chief Technology Officer de Ledger, cuestionó la autodescripción de los actores después de que devolvieran la mayor parte de las monedas pero retuvieran casi 600 $BTC.

“So, 3,400 $BTC were refunded,” escribió Guillemet en X. “The 'white hats' still hold 600 $BTC. If this was ever a negotiated reward under an encrypted contract signed on-chain, it looks more like extortion than white-hat hacking!”

Su comentario se centró en la ausencia de términos divulgados que cubrieran el Bitcoin retenido. Una recompensa convencional por error normalmente establece la recompensa y las condiciones de devolución antes de que un investigador conserve parte de los fondos afectados, y no se ha hecho pública ningún acuerdo comparable entre Blockstream y los actores.

Un caso similar surgió después del exploit del puente Ethereum de Verus en mayo. En ese caso, el atacante devolvió el 75% de los fondos robados y conservó 1,350 ETH, entonces valorados en unos $2.8 million, después de que Verus ofreciera públicamente términos de acuerdo. El reembolso de Liquid difiere porque Blockstream no ha dicho que los 598.5 $BTC restantes constituyan una recompensa aprobada.

Las afirmaciones de white-hat por sí solas tampoco determinan el estatus legal de un actor. Cualquier evaluación legal dependería de factores como la autorización, el método utilizado para obtener los activos, las comunicaciones entre las partes y las leyes aplicables. Ningún regulador de EE. UU. ni agencia de orden público ha anunciado una acción relacionada con el retiro de Liquid.

Los tenedores de L-$BTC esperan detalles sobre respaldo y retiros

Liquid es una sidechain federada de Bitcoin desarrollada por Blockstream. Los usuarios bloquean $BTC a través de su sistema de peg y reciben L-$BTC en la sidechain en una proporción de uno a uno, lo que permite una liquidación y transferencias de activos más rápidas sin mover cada transacción a través de la capa base de Bitcoin.

Una reciente explicación sobre seguridad de puentes señaló que los sistemas que bloquean activos en una red y emiten tokens correspondientes en otra dependen de la seguridad de sus sistemas de custodia, validación y procesamiento de mensajes. Las fallas en cualquiera de esos puntos pueden interrumpir los canjes incluso cuando la blockchain subyacente sigue operando normalmente.

Para los usuarios con sede en EE. UU., el problema inmediato es operativo y no un cambio en las reglas federales sobre cripto. Los tenedores estadounidenses que usan L-$BTC enfrentan las mismas suspensiones de depósitos, retiros y servicios de peg que otros usuarios, mientras que los $BTC nativos mantenidos directamente en la blockchain de Bitcoin son independientes del sistema de sidechain de Liquid.

Liquid no ha divulgado si los 3,400 $BTC devueltos han restaurado por completo el respaldo para la oferta correspondiente de L-$BTC. La red tampoco ha dicho cómo piensa manejar cualquier brecha creada por los 598.5 $BTC que aún controlan los actores.

No se ha dado una hora de reapertura para los nodos del puente, y todavía se pidió a los exchanges mantener suspendidos los depósitos y retiros de L-$BTC. Blockstream tampoco ha publicado el relato técnico prometido sobre la falla ni ha confirmado si los actores tienen intención de devolver el Bitcoin restante.