L-BTC forjado, bitcoin real: el exploit de impresión de notas en el hackeo de Liquid

El 6 de septiembre, a las 15:53 UTC, en el bloque líquido 4,050,336.Un atacante informó al software de validación de Liquid Network que aproximadamente 4,000 bitcoins en valor de los tokens recién creados estaban respaldados por reservas reales. El software aceptó la información. En pocas horas…Alrededor de 320 millones de dólares en Bitcoin reales han sido retirados.Desde el monedero de la federación detrás de Liquid, se trata de una cadena secundaria de Bitcoin construida por Blockstream.

Lo importante es lo que hizo.NoFue hackeado. No se trató de una robo del propio registro de Bitcoin; el mainnet nunca se rompió. El atacante aprovechó un error en Elements, el software de código abierto que maneja Liquid, para crear tokens L-BTC no respaldados por nada, y luego convertirlos en BTC real a través del puente de conversión de la red. La distinción entre “un token que puedes tener” y “un token que vale verdaderos bitcoins” está determinada por el software de validación de un pequeño grupo de miembros de la federación. El 6 de septiembre, esa distinción fue cruzada no por la fuerza bruta, sino por un error sutil.Los nodos almacenan el resultado de una verificación criptográfica de seguridad.Y el atacante presentó datos que indicaban que un resultado ya había sido almacenado en la base de datos. Los tokens falsificados parecían haber sido verificados previamente.

Una advertencia antes de hablar de economía: Blockstream es una empresa privada. No existe un índice bursátil para Liquid, ni acciones de Blockstream que se puedan comprar. La “historia de inversión” aquí no se refiere a la propiedad de la empresa; sino a lo que los precios de los activos relacionados con Bitcoin implican: la confianza necesaria en las redes que transportan el valor del Bitcoin, y las afirmaciones de “apoyo uno-a-uno” que se mencionan en relación con ellos. Liquid es un pilar importante en todo esto.Alrededor de 5 mil millones de dólares en valor acumulado.Según el conteo del propio network, y es allí donde…Tether imprime sus USDT de forma nativa..

La identidad 1:1, separada y restaurada.

Antes del 6 de septiembre, la identidad de L-BTC era simple: un L-BTC, es decir, un bitcoin real que pertenecía a la federación. Esa es toda la “producto” en sí. El valor de una cadena paralela no está en su token; el token es simplemente una promesa. El valor real está en la posibilidad de canjear esa promesa por bitcoin.

La explotación puso a prueba esa promesa. Según el informe de incidentes propio de Liquid, la reserva se mantenía…Aproximadamente 4,205 BTC antes del incidente; el atacante eliminó alrededor de 4,000 de ellos, dejando el monedero con 197 BTC.Antes de que las operaciones se detuvieran. En ese período, la identidad “uno-a-uno” era una ficción: aproximadamente 320 millones de L-BTC no tenían ningún Bitcoin detrás de ellas.

Luego, los actores se identificaron como investigadores de “sombrero blanco” y regresaron.3,400 BTC el 7 de septiembre: aproximadamente el 85% del total.En la cadena de bloques, el rendimiento puede ser verificado. Lo que queda es…598.5 BTC, o el 15%, con un valor aproximado de 47 millones de dólares.Sentado en una posición específica, bajo el control de los actores.

La cantidad requerida como recompensa y la identidad del Bitcoin retenido

El Bitcoin que se mantiene en custodia es donde esto deja de ser una historia puramente técnica. Los actores ahora…Se exige una recompensa del 10%, pagada con los fondos propios de Blockstream.Para liberar el resto, se advierte que si no se paga, los titulares de Liquid enfrentarán una pérdida del 15%. Blockstream, a partir del 11 de septiembre, ha rechazado esto. “Tomar activos sin autorización y retenerlos sin devolverlos es un crimen, no una divulgación responsable”, dijo.No se trata de una actividad “white-hat”.Es robo.

Se entiende eso como una decisión de identidad. La recompensa convierte lo que ocurrió en un acto criminal en una transacción: tú devuelves mis bienes, yo pago una comisión de hallazgo; todos son participantes en el proceso. Blockstream rechazó exactamente esa transformación.No pagaremos por la devolución de los bienes robados.“Dijo eso, y dice que funcionará”,Fuerzas de orden público, empresas forenses, intercambios y proveedores de serviciosPara rastrear los fondos.

La etiqueta “blanco sombrero” también merece la misma atención. Es un hecho que la mayor parte de los fondos se devuelven después de que se realiza el reparado; eso es una práctica común entre los investigadores serios. Pero la exigencia de pago después de la reparación, al mantener el 15% de los fondos en una dirección separada… Chainalysis señala que los bitcoins retenidos fueron enviados a una…Dirección controlada por el actor, como cambio en la misma transacción que devolvió el volumen.No parece más una revelación de información, sino más bien el hecho de que los fondos ocultos se convierten en una forma de apalancamiento. Ni Blockstream ni las partes involucradas han confirmado ningún acuerdo relacionado con recompensas. La retribución es un hecho; calificarlo como altruismo es simplemente una interpretación, hasta que las conclusiones demuestren lo contrario.

Las tres cosas que el lector lleva consigo

En primer lugar, la red principal se mantuvo estable; esa parte es medible. El valor de Bitcoin fluctuó alrededor de los 77,000 dólares durante el incidente, aproximadamente donde estaba antes. Eso es lo que se podría esperar de un error en una cadena secundaria, no de una ruptura en el propio Bitcoin. Pero no confundamos “Bitcoin que permaneció estable” con “su dinero está seguro en la cadena a través de la cual se transfiere”. Los 320 millones de dólares que se perdieron, y los aproximadamente 47 millones de dólares que todavía están ausentes, son bitcoins reales que fueron utilizados debido a un error en el software, dentro de la estructura de validación del intermediario.

En segundo lugar, las stablecoins: específicamente USDT en Liquid. El informe del incidente indica claramente que USDT y otros tokens emitidos por Liquid fueron…No se ha desvalorizado debido a la vulnerabilidad.Pero se volvieron inaccesibles: la red se detuvo, los procesos de transferencia se suspendieron, y las operaciones de depósito y retiro de fondos también se interrumpieron. Una stablecoin que no se puede mover ha fracasado en la única cosa importante después del respaldo, que es la liquidez. El token estaba bien; pero el sistema en sí era inútil.

En tercer lugar, la analogía que describe esto de manera clara… y los puntos en los que falla. La federación de Liquid actúa como el área de emisión de billetes en un banco: los depositantes tienen derechos sobre el dinero, la federación posee el oro, y los empleados del banco deben rechazar los billetes falsos. El 6 de septiembre, un billete falso fue canjeado por oro. Esa parte de la analogía es correcta. Pero falla si se extiende esa analogía hacia la conclusión de que “Bitcoin no requiere confianza, por lo tanto, Liquid tampoco requiere confianza”. La federación es, en realidad, un conjunto de partes contratantes en las que se tiene confianza.SideSwap, que posee una clave de autorización para realizar operaciones de tipo “peg-out”.Fue aquel que reenvió los bitcoins retirados. La confianza en esa membresía es precisamente lo que el exploit expuso, no algo que se pudiera reparar.

La fila de personas que esperan su reclamo es única: se trata de saber si los ~598 BTC restantes podrán ser recuperados alguna vez, y qué estado financiero absorberá esa pérdida si eso no ocurre. Blockstream dice que no hará que los titulares paguen ningún “descuento” para financiar el rescate. Si esto se cumple, la relación de valor entre BTC y dólares se mantendrá. Pero si L-BTC vuelve a ser denominado de nuevo o si a sus titulares se les pide que cubran la diferencia, la relación uno-a-uno se romperá para siempre, y todas las reclamaciones relacionadas con esa promesa de 1:1 volverán a surgir. Para quienes deciden cómo manejar su exposición a Bitcoin, este es un punto de referencia importante: “Bitcoin es como oro digital, porque no necesita ningún tercero confiable”. En realidad, todo lo que está construido sobre él todavía depende de algún tercero confiable. Esta vez, el 85% del dinero fue recuperado. El 15% que no se recuperó representa el precio actual de confiar en esos sistemas, ya que son tan difíciles como el oro.