La pregunta de los 47 millones de dólares de Liquid: ¿Quién come qué que quedó atrás tras el hack?

En6 de septiembre: aproximadamente 4,000 de los 4,200 bitcoins.Backing a settlement network llamado Liquid, se retiraron dinero de su billetera de reserva en una sola transacción: aproximadamente 320 millones de dólares, uno de los mayores robos de criptomonedas del año. Lo que llegó a los titulares de los medios fue lo siguiente: las personas que robaron ese dinero se autodenominaban “hackers éticos”; devolvieron el 85% del dinero y conservaron el resto. Luego…El 11 de septiembre, la empresa operadora de redes – Blockstream – anunció que no pagaría el rescate.Para lo que quedaba.

El detalle que vale la pena examinar más de cerca es lo que no ocurrió. Ninguna caja fuerte se abrió y ninguna clave de acceso fue robada. La federación que protege los bitcoins de Liquid utiliza un…11 de 15 firmas múltiplesEl arreglo funcionó perfectamente; cada una de esas teclas funcionaba tal como estaba diseñada. De todas formas, el dinero sigue estando allí. Ese hecho simple es todo lo que importa, porque determina dónde se produce la pérdida… Y no es donde podría llevarnos la declaración oficial de Blockstream.

El riel y la promesa que representa

El líquido es importante de entender, ya que las transacciones comunes se realizan a través de él. Es una “sidechain” de Bitcoin: una red separada que emite un token llamado L-BTC. Cada unidad de este token representa un bitcoin real que se encuentra en la reserva. Las exchanges lo utilizan para resolver transacciones entre sí de manera rápida y privada, en lugar de esperar en la cadena principal, que es más lenta.Bitfinex, BTSE y BitMEXForman parte de las plataformas conectadas a la red, junto con…Federación de más de 80 bolsas de valores.Empresas de infraestructura y gestores de activos.

La razón por la cual alguien confía en esto es porque existe una promesa: 1 L-BTC entran, 1 BTC salen, y pueden ser canjeados en cualquier momento. Esa promesa es lo que establece el “peg”, y los reservas son lo que respeta esa promesa. Cuando las reservas contienen 4,200 bitcoins, la red puede cumplir con todas las obligaciones relacionadas con los L-BTC. El ataque no logró acceder al lugar donde se guardan esos bitcoins; simplemente rompió el sistema de contabilidad que determina qué representa una reclamación legítima sobre esos bitcoins.

El error se encontraba en Elements, el software de código abierto que sustenta Liquid. Una rutina de caché de nodos realiza verificaciones criptográficas para ahorrar energía de procesamiento. El error permitió que los atacantes enviasen datos inválidos, que fueron confundidos con datos ya verificados. De esta manera, pudieron crear aproximadamente 4,000 L-BTC, que no tenían ningún respaldo real en Bitcoin. Luego, esos tokens falsos fueron transferidos a través del canal autorizado de un miembro de la federación, lo que permitió convertirlos en Bitcoin real en la cadena de bloques.Se redujo la reserva a aproximadamente 197 BTC.El multisig firmó el acuerdo, porque, desde su punto de vista, la solicitud era legítima. Ningún informante, ninguna clave robada, ninguna fuerza utilizada. Solo código compartido que creía en una mentira.

“Sombrero blanco” es la etiqueta que realiza el trabajo.

Los atacantes se identificaron en la cadena de bloques con un mensaje que decía, básicamente: “Somos personas responsables; hemos explotado el sistema para obligar a que se solucione el problema. Lo devolveremos una vez que se haga el parche”. Después de que Blockstream confirmó que el problema había sido resuelto,Aproximadamente 3,400 BTC han vuelto.Alrededor del 85% de lo que fue robado. Los 598,5 BTC restantes, por un valor aproximado de 47 millones de dólares, permanecieron con ellos como una “recompensa por errores”, según lo declararon ellos mismos. Pidieron a Blockstream que cubriera ese monto.

La terminología aquí se refiere a la análisis. Nadie en Bitcoin disputa que encontrar y revelar responsablemente una vulnerabilidad sea algo legítimo. Todo el conflicto se basa en si tomar activos sin autorización y retenerlos a cambio de una tarifa puede considerarse como tal. Blockstream dice que no. En su declaración, la empresa…Se denomina “robo”, no revelación responsable.Y dijeron que pagar ese dinero sería un precedente que obligaría a los desarrolladores de código abierto a entregar su propia infraestructura al precio que el atacante exija. También dijeron que no pagarían con sus propios fondos, que no obligarían a los usuarios a pagar ningún “impuesto”, y que utilizarían “todos los medios legales” junto con las fuerzas del orden público, los intercambios de criptomonedas y las empresas forenses para recuperar las monedas.

Es una decisión de gobernanza justificable, y además, es una decisión costosa. Pero rechazar pagar el rescate no significa que se pueda recuperar el dinero. El lenguaje coercitivo sirve para ocultar la cuestión incómoda que subyace en todo esto: si los 598.5 BTC no se recuperan y Blockstream tampoco repone el fondo propio, entonces solo queda una solución: establecer un “peg” entre el valor del Bitcoin y el valor del dólar.

¿Quién realmente come el 15%?

Esa es la parte que es más importante para cualquiera que tenga conocimiento de Liquid; sin embargo, sigue sin resolverse. La promesa de recompensa uno por uno solo es tan buena como las reservas que se utilicen para ella. Con aproximadamente 598 BTC…4,205 personas que en el pasado apoyaron la red.Ahora, estacionado en una dirección controlada por las personas que lo poseen, la reserva tiene una deuda de aproximadamente 47 millones de dólares, en comparación con lo que debe pagar. Dado que los L-BTC son intercambiables: cada unidad es idéntica, y no existe forma de distinguir los tokens “seguros” de los “comprometidos”, toda la oferta disponible está tecnicamente subcolateralizada, no solo la parte afectada por el robo.

La declaración de Blockstream indica que no hará que los usuarios se corten el cabello como condición para recibir el rescate. Eso es una esperanza sobre el resultado, no un hecho relacionado con el balance general de la empresa. Si el dinero regresa voluntariamente, o si las autoridades legales lo recuperan, entonces la reserva se mantendrá sin costos para nadie. Pero si no ocurre eso, y Blockstream cumple su promesa de no usar su propio capital, entonces la reserva seguirá estando subfinanciada, y los 47 millones de dólares representarán una reclamación real y no resuelta contra los titulares de L-BTC y las bolsas de valores que los canjean por clientes. Diciendo “Bitcoin no obliga a los usuarios a cortarse el cabello” no evita en sí mismo esa situación; simplemente decide quién permanecerá con el resto del dinero.

La redVolvió a producir bloques el 10 de septiembre.Y las puertas de salida permanecen deshabilitadas como medida de precaución. Es una solución temporal sensata, pero también sirve como recordatorio de que la puerta de salida aún no está abierta. Para un sistema en el que todo lo que se espera de él es que sea aburrido, confidencial y confiable, esa deficiencia, junto con el proceso de recuperación que dura meses, representa precisamente ese tipo de daño a la confianza que no se refleja en los estados financieros.

También existe un límite en cuanto a cómo directamente un inversor de acciones puede operar con todo esto. Blockstream es una empresa privada.Su valor de mercado más reciente fue de aproximadamente 3.2 mil millones de dólares en una aumento de valor en 2021.Por lo tanto, no hay acciones en la lista que pueda comprarse o venderse en los noticiarios. La exposición de un inversor minorista es más concreta que una marca bursátil: se refiere a la posesión de L-BTC, o al comercio en una bolsa que realiza pagos en Liquid. También podría haber presión para la recompra de las unidades existentes. En general, se trata de una reevaluación de cuánto confianza realmente merecen los tokens tokenizados y los mecanismos de pago en el sidechain.

La lección no es que las cadenas laterales federadas estén condenadas al fracaso. Es que su seguridad depende tanto del software compartido como de las claves protegidas. Además, un error en la lógica que determina qué se considera una reclamación puede llevar a que se pierdan fondos que nunca han sido tocados por ninguna firma. Blockstream ha trazado una línea que considera correcta. Lo que aún no ha hecho —y no puede hacerlo mediante un anuncio— es decidir quién, finalmente, será responsable de los 47 millones de dólares. Esa decisión todavía está en proceso: una solicitud legal, una negociación para recuperar los fondos y una forma de redimirlos, uno por vez. El lector que posee el token no es un espectador de todo esto.