Bitcoin no fue hackeado… Su sistema de funcionamiento sí lo fue.

Aproximadamente 320 millones de bitcoins salieron de la red Liquid en cuestión de minutos este mes. Eso parecía una brecha en el recurso más seguro en el mundo cripto. Pero no era así. El dinero salió debido a un error en el sistema de pago: el software utilizado para intercambiar monedas entre diferentes redes. Esa diferencia es la clave para entender los riesgos reales, ya que nos indica dónde se encuentra el verdadero peligro y por qué el historial de seguridad de Bitcoin nunca garantizó la seguridad de las capas que se construyen sobre él.

Esto es lo que realmente ocurrió, en términos contables.

El “liquid” no es Bitcoin. Es una cadena lateral separada llamada Blockstream, lanzada en 2018, gestionada por…Una federación de más de 80 bolsas de valores, empresas de infraestructura y gestores de activos., Incluye a Bitfinex, BTSE y BitMEX.Su función es la velocidad: permitir que las transacciones se realicen entre los miembros en cuestión de minutos, en lugar de esperar el tiempo necesario para que se complete un bloque de Bitcoin. Para lograr esto, la federación emite Liquid Bitcoin, o L-BTC, como token por cada Bitcoin real que esté guardado en su cofre. El cofre…Un cartera que requiere 11 de las 15 firmas de la federación. — Contaba con aproximadamente 4,200 BTC antes del incidente.L-BTC es una reclamación sobre ese montón de dinero. Un registro contable limpio, siempre y cuando el libro mayor que lo registra sea honesto.

Los pocos minutos del 6 de septiembre rompieron esa estructura de registros. El ataque no logró obtener las claves del cofre. En cambio, aprovechó una falla en Elements, el software de código abierto que verifica las transacciones de Liquid. Específicamente, se aprovechó el hecho de que el código almacenaba datos en caché.“Pruebas de rango”, los controles criptográficos que deben impedir que alguien cree tokens de la nada.Un actor malintencionado proporcionó datos inválidos; el sistema de almacenamiento de datos los tomó por datos aprobados, lo que les permitió crear L-BTC sin que hubiera nada realmente relacionado con Bitcoin detrás de ellos.Se envió ese papel no respaldado a través de SideSwap, un miembro de la federación que posee la clave de autorización para la conversión de moneda, y se convirtió en BTC real.SideSwap lo admite.Se mantuvo esa clave conectada a Internet, y no había límites de tamaño para marcar un orden de cuatro mil monedas desde una cartera nueva..

El resultado:La reserva disminuyó de 4,205 BTC a 197 BTC en minutos.. La clave del miembro de la federación no fue comprometida, y la cadena base de Bitcoin…Sus bloques, su prueba de trabajo, su consenso… nunca se tocaron. Un cofre seguro puede ser vaciado por un mal manejo de los documentos. Eso es lo realmente importante.

La recuperación es donde la historia se vuelve interesante para quienes mantienen L-BTC a través de una exchange. Los atacantes, que se autodenominan “white-hats”,Se devolvieron 3,400 BTC, aproximadamente el 85% del total.Eso deja…Aproximadamente 598.5 BTC, valorados en unos 47 millones de dólares, todavía no se han entregado.Los actores exigieron una recompensa del 10%, pero Blockstream no ha confirmado que sea un programa autorizado. La red…La producción de bloques se reanudó el 10 de septiembre, pero hasta ahora los funcionarios solo están firmando bloques vacíos.Las funciones de peg-ins, peg-outs y retiros por parte de los usuarios permanecen deshabilitadas, mientras se verifican las reservas en una reapertura en tres fases.

Y aquí es donde el “peg” cambia de carácter. Adam Back, jefe de Blockstream.Ha prometido públicamente que el acuerdo de cobertura del 1:1 entre L-BTC y BTC se cumplirá completamente, e instó a los titulares a no vender en masa en el mercado over-the-counter.Lea los registros contables que se encuentran debajo de esa oración. Un ajuste de par 1:1, basado exclusivamente en monedas en un sistema de seguridad múltiple, constituye un tipo de colateral en la cadena de bloques. Un ajuste de par con un déficit de medio mil millones de dólares, que una empresa promete compensar, es simplemente una promesa corporativa; no es una regla de consenso. El valor del token ahora depende en parte del balance general y del valor comercial de Blockstream, y no estrictamente del depósito que se encuentra detrás de él.

Esa es la verdadera lección: se aplica a más de una red. Cuando uno posee Bitcoin en una plataforma que utiliza una cadena paralela para el proceso de pago, se están haciendo dos afirmaciones completamente diferentes. “El Bitcoin es seguro” describe la capa básica del sistema; esa capa funcionó perfectamente en este caso. “Puedes obtener tus monedas cuando quieras” describe el sistema de carteras federadas, el software que realiza el conteo y las personas que firman los acuerdos. La vulnerabilidad no afectó la primera afirmación; fue un test de estrés para la segunda. Los productos que se basan en una cadena blockchain segura solo heredan la solidez de la capa básica hasta el primer punto donde el código de otra persona y el balance de otro se convierten en parte del sistema. Ese es el lugar donde se perdieron los 320 millones de dólares… y donde siempre ha existido el riesgo real relacionado con las criptomonedas.