La Liquid Federation ha anunciado que las reservas de bitcoin de la Liquid Network han sido completamente restauradas, restableciendo el respaldo 1:1 de BTC para LBTC, el token que representa a bitcoin en la sidechain de Blockstream. La restauración llega casi dos meses después de un exploit en septiembre que drenó aproximadamente 320 millones de dólares en BTC y dejó un vacío en la reserva de la red. Las monedas faltantes fueron suministradas presuntamente por Blockstream.

Blockstream cubrió el vacío de la reserva

En un anuncio publicado en X el martes 3 de noviembre, la Liquid Federation escribió que "se complace en anunciar que las reservas de bitcoin de la red han sido completamente restauradas, restableciendo el respaldo de 1:1 BTC para todo el LBTC".

El CEO de Blockstream, Adam Back, compartió una captura de pantalla de un panel que mostraba los activos de la Liquid Network igualando los pasivos al 100%. La captura también mostraba que el déficit de reserva ahora es de 0,00 BTC.

Cuando se preguntó a Samson Mow, miembro de la junta de la Liquid Federation y exejecutivo de Blockstream, sobre el origen de los fondos, respondió: "Como se ha dicho muchas veces, Blockstream".

Mow rastreó públicamente los depósitos a medida que llegaban. Según sus actualizaciones, 50 BTC llegaron a la billetera de la federación el 28 de octubre, dejando un faltante de 550 BTC. Otros 300 BTC se agregaron a la billetera el lunes, seguidos de 250 BTC adicionales más tarde el mismo día, completando la restauración del respaldo.

Los depósitos también cierran el círculo aritmético del exploit: de los aproximadamente 4.000 LBTC sin respaldo acuñados en septiembre, 3.400 BTC regresaron al día siguiente, dejando alrededor de 600 tokens pendientes — el mismo vacío que ahora fue cubierto por los 600 BTC que Mow rastreó llegando. El faltante fue más que un asiento contable: los LBTC sin respaldo pueden enrutarse a través de servicios de peg-out para retirar bitcoin real, como demostró el atacante mediante SideSwap, por lo que hasta el relleno, cada token sin respaldo pendiente representaba un reclamo que la reserva no podía honrar.

Los intercambios directos entre bitcoin y LBTC ya se habían reanudado semanas antes a través de proveedores participantes. Sin embargo, la Federación no ha dicho si todas las restricciones de peg-out restantes han sido levantadas, y más allá de los depósitos de Blockstream, no ha revelado cómo se cubrió por completo el hueco de la reserva.

Cómo los atacantes acuñaron LBTC sin respaldo

Hackers autodenominados white-hat explotaron un buy-in en Elements, el software de código abierto que ejecuta Liquid, el 6 de septiembre — un incidente cubierto posteriormente en la evaluación del incidente de seguridad de Liquid Network. La falla se ubicaba en una caché que almacenaba los resultados de verificaciones de rangeproof costosas. Debido a que la clave de la caché omitía el asset commitment y el scriptPubKey, un nodo podía reutilizar una prueba previamente verificada en un contexto donde no era válida.

Esa debilidad permitió al atacante acuñar alrededor de 4.000 LBTC sin respaldo y enrutarlos a través del servicio de peg-out de SideSwap para retirar bitcoin real. Las claves privadas no fueron robadas en el exploit, gracias al multisig de 11 de 15 de la federación y a las claves de autorización de SideSwap, que funcionaron según lo diseñado.

Al día siguiente, el atacante devolvió 3.400 BTC pero conservó alrededor de 598 BTC, que en ese momento valían aproximadamente 47 millones de dólares. Luego, el atacante exigió una recompensa de errores del 10% a cambio de las monedas restantes. Blockstream rechazó la oferta, diciendo que no pagaría "un rescate que excede con creces su participación económica". Días después, el 9 de septiembre, Blockstream lanzó una versión endurecida de Elements, v23.3.4.

¿Pueden las correcciones prevenir futuros ataques?

Cuando se le preguntó bajo su publicación inicial en X qué evitaría que el mismo tipo de ataque volviera a ocurrir, Back dijo que se han reforzado tres líneas de defensa. Escribió que las claves de autorización de peg-out (PAK) han sido renovadas y trasladadas a billeteras de hardware en frío. Las cachés de validación de pruebas, señaló, han sido deshabilitadas y la falla corregida en los nodos. Para la tercera corrección, Back escribió que las reglas de consenso han sido reforzadas, "y fallan de forma cerrada". Añadió que los sistemas han pasado por múltiples auditorías de terceros.

La advertencia sobre correcciones sugeridas por IA

Back también dijo que una de las lecciones aprendidas del incidente es tratar cada sugerencia de IA con sospecha, declarando: "no confíes, verifica".

Su advertencia no surge de la nada. Análisis independientes sugirieron que el atacante de septiembre realizó ingeniería inversa de la vulnerabilidad a partir de un commit de GitHub con título público antes de que cualquier nodo de producción fuera actualizado. Según el Threat Intelligence Group de Google (GTIG), los atacantes explotaron 141 fallas entre enero y agosto de 2026 — 14 incidentes más que las 127 registradas en todo 2025. Se reveló que las herramientas de IA están reduciendo la brecha entre la divulgación de una falla y un exploit funcional.

La Liquid Federation ha dicho que también está preparando cambios en la gobernanza y la supervisión, con más detalles prometidos en las próximas semanas.

Fuente: Cryptopolitan