El “Liquid Exploit” rompió la confianza en el sistema, no Bitcoin… Y todavía faltan 47 millones de dólares.

El 6 de septiembre, alguien movió aproximadamente 4,000 Bitcoin desde la cartera que respeta la red Liquid de Blockstream. En ese momento, esa cantidad equivalía a unos $320 millones, lo que representa el 95% del valor total.4,000 de los 4,200 bitcoins que la red tiene reservados.Lo que hizo que la historia fuera inusual no era el tamaño del objeto. Era la nota que los transportistas dejaron en la cadena de bloques de Bitcoin.Se identifican a sí mismos como “investigadores de seguridad de cabello blanco”.Prometieron devolver el dinero una vez que el problema fuera resuelto.Se devolvieron 3,400 de los 4,000 Bitcoin.En un día. Los titulares lo calificaron como un casi accidente: los hackers resultaron ser personas buenas.

El registro contable narra una historia diferente, más útil… Y todavía está abierto.

El líquido no es Bitcoin. Es simplemente…Bitcoin sidechain, desarrollado por Blockstream en 2018.Allí, las transacciones y los emisores pueden liquidar el valor de manera rápida y con cantidades confidenciales. Cada token en ese sistema, llamado L-BTC, debe estar respaldado uno por uno por Bitcoin real, que se encuentra en una cartera multisig controlada por alguien.Federación de 15 empresasPara autorizar una transacción, se necesitan 11 firmas de esos participantes. Ese ratio de respaldo constituye toda la garantía de la red. No existe un consenso criptográfico en el núcleo de Liquid, como ocurre en la capa base de Bitcoin. Existe un pequeño grupo de firmantes y su software.

El software es el punto donde ocurre el problema. Liquid funciona en Elements, un programa de código abierto relacionado con Bitcoin.Problema en la forma en que almacena las verificaciones que protegen contra rangos incorrectos.— Los cheques que demuestran que una cantidad de bitcoins no fue creada de la nada — permitieron que los atacantes crearan aproximadamente 4,000 L-BTC, que no tenían ningún respaldo. Luego, esos tokens falsos fueron enviados a través de SideSwap, un sistema automatizado que tiene permiso para liberar bitcoins reales, sin límites en cuanto al tamaño o velocidad de pago. Once de las quince federaciones firmantes validaron la retirada.La cartera Peg cayó de aproximadamente 4,200 Bitcoin a 197.En una sola tarde.No se comprometió la clave privada.La creación del dinero fue no auténtica; la salida fue totalmente autorizada.

Esa distinción es importante, porque es la parte que un inversor minorista puede mantener. El propio Bitcoin no fue hackeado; su proceso de liquidación, su prueba de trabajo y su registro no se vieron afectados. Lo que falló fue el sistema que se construyó sobre él: la suposición de que cada L-BTC podía ser canjeado por Bitcoin real, siempre que el poseedor lo solicitara. Durante unas horas, el 6 de septiembre, un poseedor de L-BTC tenía derecho a una cantidad pequeña de Bitcoin, que se había reducido a cuantías muy bajas por cada token.

El regreso de 3,400 Bitcoins restauró la mayor parte de ese respaldo… pero no todo.598.5 Bitcoins, valorados en aproximadamente 47 millones de dólares.Aún está en manos de los transportistas. Y resulta que los “mitad blancos” querían recibir pago.Las notas on-chain exigían el 10% del valor como “recompensa por errores”.Con la amenaza de que el rechazo causaría una pérdida del 15% para todos los titulares de Liquid. El viernes, 11 de septiembre, Blockstream se negó públicamente y redefinió todo el incidente con sus propias palabras.

Tomar activos sin autorización y retener su devolución es un delito; no se trata de una divulgación responsable.No es una actividad ética. Es un robo.

El mensaje de Blockstream para quienes poseen los bitcoins restantes son dos palabras:“Devuelva los bitcoins”.La empresa dice que colaborará con las fuerzas del orden público, los especialistas en intercambios y forense para rastrear los activos, en caso de que no sean devueltos. También rechaza el precedente de pagar un rescate que exceda su propia participación económica en la red.

Lea los etiquetados con atención, porque cada uno de ellos implica una carga de prueba. “Sombrero blanco” es la descripción que hacen los atacantes; se trata de una declaración hecha después de tomar el control de una reserva y exigir un porcentaje de beneficio. Eso no es un hallazgo, sino una afirmación. “Robo” es la caracterización de Blockstream, no una decisión judicial. Lo que está en el registro son actos concretos: aproximadamente 4,000 L-BTC creados sin respaldo alguno, un pago de casi 4,000 Bitcoin firmado por un quórum de miembros de la federación, y 598.5 Bitcoin que aún se mantienen fuera de la red. La diferencia entre lo anunciado y lo real es de 47 millones de dólares, y esa diferencia sigue sin resolverse.

Aquí está la pregunta del inversor. No hay acciones de Blockstream para comprar o vender; la empresa es privada. Por lo tanto, no existe un índice bursátil específico al que se pueda calcular el precio. El evento tiene importancia en dos aspectos. En primer lugar, si usted posee algún activo respaldado por Liquid – como L-BTC –…USDT que Tether emite en la red.O bien un saldo de intercambio que se liquida en él… El déficit del 15% pregunta quién tendrá que absorberlo si el resto nunca se devuelve. Además, se pregunta si es la federación o Blockstream quien rellena ese saldo de reserva. Es una cuestión relacionada con las partes involucradas en el negocio; hasta ahora, nadie ha respondido a ella.Los peg-out permanecen deshabilitados.Por lo tanto, la salida de la red sigue estando cerrada, mientras que los libros se reconcilian.

En segundo lugar, y de manera más sutil, este incidente sirve como un “patrón de prueba” para determinar cómo se debe interpretar cada aspecto relacionado con “Bitcoin Layer-2”. La seguridad de una cadena secundaria como Liquid no es la misma que la seguridad del propio Bitcoin. Se trata de la seguridad de una federación de signatarios designados, y de la corrección de su software. Es un modelo de confianza más cercano a un consejo o un centro de compensación, que al concepto de “prueba de trabajo”. Esta comparación es útil, hasta el momento en que un programa de verificación de software acepte un token sin respaldo como válido. Ese es el punto crítico. El exploit no hizo que Bitcoin fuera menos seguro; simplemente hizo que el paso de “seguro gracias a la red de Bitcoin” a “seguro gracias a una federación” fuera más claro, y el precio de ese error quedó registrado en Bitcoin.

La situación antes del “exploit” era simple: los intercambios utilizan Liquid para lograr un proceso de liquidación rápido y sin complicaciones; además, la relación entre las monedas es uno-a-uno. Pero en este caso no es así. Aproximadamente 47 millones de dólares del reserva están en manos de personas que se autodenominan “buenos”, quienes exigen una recompensa por el dinero. Se dice que ese dinero está robado. Depende de cómo termine ese dinero: si los dueños lo consumen, si la federación lo cubre, o si los atacantes finalmente devuelven ese dinero… Porque ese resultado, no los titulares de los titulares de los tokens, es lo que determina cuánto debe pagar cada persona para poder mantener su posición en la cadena de bloques.