El exploit de Liquid de Blockstream dejó un “hoyo” de 598.5 BTC en la promesa de 1:1.

El 6 de septiembre, un atacante consumió casi 4,000 bitcoins.Se trataba de una única cartera de la federación en Liquid, una cadena lateral construida sobre Bitcoin. Al principio, parecía uno de los mayores robos cripto del año. La cifra más importante era de 320 millones de dólares. Para el 11 de septiembre, casi todo ese dinero había regresado. Blockstream se negó públicamente a pagar el rescate por lo que quedaba. Es fácil entender toda la situación. La cifra que realmente importa para quienes deciden cuánto vale una moneda es casi invisible: 598.5 BTC, aproximadamente 47 millones de dólares. Eso es lo que falta en la reserva que prometía que cada token en circulación podría ser canjeado uno por uno. Esa “herida” aún no tiene dueño, y rechazar el rescate no la cerrará.

¿Qué es el líquido? Y por qué Bitcoin nunca fue el objetivo.

Lo primero que ocultan los titulares de los medios de comunicación es el tema del ataque. Liquid no es Bitcoin. Es una cadena lateral lanzada por Blockstream en 2018, y está gestionada por una federación de exchanges, proveedores de infraestructura e instituciones financieras. Los usuarios pueden transferir Bitcoin a Liquid y recibir Liquid Bitcoin, o L-BTC, a cambio. L-BTC no es una moneda nueva; es simplemente un recibo. La red promete que cada L-BTC está respaldado por Bitcoin real, que se encuentra en una cartera de reserva. Los “funcionarios” de la federación firman este acuerdo con un nivel de seguridad de 11 de 15 personas.

La clave está en la velocidad y la privacidad: tiempos de bloque de dos minutos, cantidades de transacciones ocultas, y liquidación para las instituciones que no quieren esperar una hora para obtener la confirmación del nivel base.En total, hay unos 5 mil millones de dólares en valor en esa cadena.Se distribuyen en L-BTC, stablecoins y valores tokenizados. Existen poseedores minoritarios, pero los verdaderos usuarios son las plataformas de intercambio y los departamentos de negociación al por mayor, que transfieren dinero entre sí.

Nada de eso afecta al propio Bitcoin. Cuando ocurrió el problema, la red de Bitcoin continuó confirmando los bloques como de costumbre.El precio se mantuvo cerca de los 80.000 dólares.El software de la cadena lateral puede fallar, mientras que la capa base en la que está anclada sigue funcionando. Esa distinción es todo lo que importa aquí.

El cofre permaneció intacto; pero el registro contable se rompió.

La estructura de la vulnerabilidad es importante, ya que indica dónde realmente se encontraba el riesgo. Blockstream y los exchange confirmaron que las claves de firma de la federación no habían sido robadas. Las 11 de las 15 claves de firma estaban intactas. Lo que falló fue el software: un error en el código base de Elements, el framework de código abierto sobre el cual funciona Liquid, y en la forma en que la red verificaba las transacciones confidenciales.

En términos simples, el atacanteEncontró una forma de crear L-BTC, algo que ningún bitcoin había hecho nunca.Es como imprimir un recibo de depósito, pero sin que haya un verdadero depósito real. El atacante luego utilizó el método legítimo de retiro de BTC a través de Liquid para extraer esos “L-BTC” falsos. La copia era falsa, pero la sistema de retiros la trató como real y pagó efectivamente con Bitcoin real. Las cerraduras del cofre permanecieron en su lugar; la registración contable que determinaba quién tenía derecho a retirar dinero del cofre no funcionó.

El retorno del 85%, y la situación de estancamiento

Después de que Blockstream reparó los nodos afectados y confirmó la solución, los atacantes devolvieron 3,400 BTC, aproximadamente el 85% del total, el 7 de septiembre. Se autodenominaron “hackers de buena fe” y afirmaron que actuaban de manera responsable. Esa es la diferencia entre las dos lecturas; los datos que las separan son el saldo restante.

Los atacantes conservaron aproximadamente 598.5 BTC, valorados en unos 47 millones de dólares. La oferta que hicieron, a través de mensajes en la cadena de bloques, era una recompensa del 10% por devolver todo el dinero, con la amenaza de que los poseedores de L-BTC enfrentarían pérdidas en el resto del dinero. BlockstreamSe negaron públicamente el 11 de septiembre, considerando que la ocultación de información era un crimen, y no una acción responsable.Y advierten que pagar esa cantidad de dinero daría a toda la industria de código abierto un método para cometer extorsiones en el futuro. La empresa dice que, en cambio, intentará obtener los fondos a través de las fuerzas del orden y los métodos forenses.

El número que se utiliza para realizar los cálculos aritméticos.

Detengámonos en el libro mayor; es allí donde leer los registros de las carteras de criptomonedas, en lugar de leer narrativas, realmente genera ganancias. La reserva total ascendía a aproximadamente 4,200 BTC.El desagüe vació aproximadamente 4,000 de ellos.Casi el 95% del respaldo para cada L-BTC en circulación. La devolución supuso un retorno de 3,400 BTC. Si realizamos la resta, el saldo disponible es de 598,5 BTC… esa misma cifra que todavía está en manos de los atacantes.

Ese agujero no es un error de redondeo. Es aproximadamente el 15% de todo lo que se drenó, y ese es el motivo por el cual los atacantes amenazan con una pérdida del 15%. Si esas monedas nunca vuelven, entonces aproximadamente el 15% del fondo prometido a los poseedores de L-BTC desaparece. Las transacciones de L-BTC se realizan sobre la base de una restitución 1:1, así que la pregunta es: ¿quién se lleva el saldo restante? Hay opciones: la federación podría recapitalizar el fondo con sus propios recursos, o las autoridades legales podrían localizar y recuperar las monedas. Pero ni eso ha sucedido, ni Blockstream ni la federación han dicho nada al respecto.Quien absorbe la diferencia si las monedas no regresan.Mientras tanto, la red ha vuelto a producir bloques vacíos, mientras que las operaciones de peg se mantienen suspendidas. Estas operaciones son el mecanismo mediante el cual los L-BTC se convierten nuevamente en bitcoin.

Qué hace el inversor minorista con esto.

La lección aborda una estructura que la mayoría de los lectores nunca llegará a entender. El precio de un activo solo es tan fuerte como la garantía que lo respeta; “garantizada” significa que existe una específica garantía, con un propietario definido. El Bitcoin en su capa básica no tiene ningún socio: su valor no depende de las promesas de nadie para canjearlo. Los tokens L-BTC, los depósitos acotados, los depósitos cruzados y los recibos de depósito que generan rendimientos tienen una estructura opuesta: una promesa, mantenida por alguien, que se rompe debido a un error en el software, y no a causa de robos.

Así que, muestre la misma pantalla antes de confiar en cualquier cosa que prometa una estabilidad fiable o respaldo adecuado: quién está detrás de esa promesa, qué pasa si el software falla, y quién paga primero las pérdidas. Identifique al propietario de la pérdida antes de confiar en el nombre del activo. Eso es todo lo que hay en juego aquí.

Y la cláusula de vencimiento… Porque cada método tiene una. En el momento en que Liquid vuelva a llevar a cabo sus operaciones relacionadas con las reservas, y estas vuelvan a ser del 1:1 completo –ya sea mediante recuperación o recapitalización–, ese riesgo especial desaparecerá y L-BTC volverá a ser tan confiable como siempre. Hasta entonces, debe tratar cualquier L-BTC en circulación como un crédito hacia una federación que tiene problemas financieros. Verifique el saldo de las reservas de la misma manera en que verificaría el saldo de una cartera, no de la misma manera en que leería un hilo de redes sociales.