Un hacker acaba de decirle a una cadena lateral de Bitcoin que solucione su propio error antes de que devuelva el dinero

En algún momento después de las 14:00 UTC del 6 de septiembre de 2026, alguien retiró discretamente 3.996 BTC de la cartera de la federación de la red Liquid de Blockstream. En aquel momento, eso equivalía aproximadamente a 320 millones de dólares. La cartera contenía unos 4.200 BTC antes de la transacción. Después, solo quedaban unos 207. El 95% de las reservas que respaldaban el token L-BTC de Liquid había desaparecido, de un solo golpe, y nadie en Blockstream lo había visto venir.

Liquid confirmó el incidente en X a las pocas horas: Blockstream afirmó que era consciente de un incidente de seguridad y que estaba trabajando para ponerse en contacto con las partes de la cadena mediante un mensaje firmado, en el que describía la retirada como obra de «supuestos hackers de sombrero blanco». La red detuvo las nuevas transacciones, desactivó sus nodos puente y pidió a las plataformas de intercambio que congelaran los depósitos y retiradas de L-BTC mientras se esclarecía lo sucedido. «Las carteras de Liquid se verán afectadas, y lamentamos cualquier inconveniente», decía la publicación, algo extraño de escribir tras perder una cifra de nueve dígitos en bitcoins durante un fin de semana.

Lo que hace que este caso sea inusual no es la magnitud de la pérdida, aunque los 320 millones de dólares lo sitúan cerca de la cima de la lista de ataques de este año. Es lo que no ocurrió. No se robaron claves privadas. Ningún miembro de la federación fue víctima de phishing. Liquid afirmó claramente que la clave de autorización de «peg-out» de SideSwap utilizada para transferir los fondos «no se vio comprometida, ni tampoco ninguna otra». SideSwap lo corroboró, afirmando que la transacción se procesó como una orden normal de un cliente, totalmente firmada y autorizada, y que sus sistemas no tenían forma de detectar que los L-BTC que la respaldaban no deberían haber existido.

Ese es el verdadero fallo. Alguien encontró una vulnerabilidad en Elements, el software de código abierto en el que se basa Liquid, que le permitió acuñar L-BTC sin el respaldo de ningún bitcoin real. El analista de cadena mononaut estimó que, tras la fuga, cada LBTC en circulación estaba respaldado por solo alrededor del 4,7% de un bitcoin real. Antoine Poinsot, colaborador de Bitcoin Core, que publica bajo el nombre de darosior, se percató de que algo más no cuadraba: un bloque de Liquid que el propio explorador de Blockstream aceptaba no aparecía en absoluto en mempool.space, un pequeño detalle técnico que daba una pista de hasta qué punto la falla se adentraba en la lógica del consenso. Los investigadores acabaron determinando que el problema radicaba en cómo se validan y almacenan en caché las transacciones confidenciales de Liquid: se trataba de un error de inflación, no de un caso de robo de claves.

Luego llegó la parte que está convirtiendo este caso en uno de los enfrentamientos más extraños de la historia de la seguridad en el mundo de las criptomonedas. La persona o personas que retenían los fondos comenzaron a enviar mensajes a Blockstream incrustados directamente en transacciones de Bitcoin, algunos a través de OP_RETURN y otros, según se informa, cifrados con PGP. Uno de ellos decía, más o menos: «Arreglad primero el fallo, confirmad que todos los nodos están parcheados y solo entonces se devolverá el dinero». Blockstream, dirigida por Adam Back, respondió de la misma manera. Según informa The Block, la empresa envió su propio mensaje firmado una vez que la corrección estuvo operativa: «Los nodos puente están parcheados, es seguro devolver los fondos». En el momento de escribir este artículo, los bitcoins seguían en la cartera del atacante.

El director de investigación de Galaxy Digital, Alex Thorn, afirmó que los hackers habían ido un paso más allá y habían enviado a Blockstream informes técnicos cifrados para ayudar a identificar la vulnerabilidad. Si eso se confirma, se trata de una estructura de incentivos realmente extraña: una vulnerabilidad por valor de 320 millones de dólares que, hasta ahora, funciona como una recompensa por errores no pagada y bastante agresiva. Que siga siendo así es la única pregunta que importa ahora mismo, y nadie, salvo el propietario de esa cartera, conoce realmente la respuesta. Cada gran afirmación de los «sombreros blancos» en este sector se pone a prueba en el momento en que llega realmente la fecha límite para devolver los fondos.

Para todos los demás, el daño inmediato es más mundano. Según se informa, el resto de activos de Liquid —incluidos el USDT, DePix y diversos activos del mundo real tokenizados en la red— no se vieron afectados, ya que el fallo era específico del manejo de transacciones confidenciales de L-BTC y no de la cadena lateral en su conjunto. No obstante, la federación detuvo toda la red de todos modos, y las plataformas de intercambio que canalizan la liquidación a través de Liquid han tenido que pausar la actividad de LBTC mientras se implementan los parches entre los operadores de nodos de la federación. Liquid lleva funcionando desde 2018 como una cadena lateral federada de Bitcoin supervisada por más de 80 plataformas de intercambio y empresas de infraestructura, y este es el tipo de suceso al que se suele hacer referencia en todos los futuros argumentos a favor o en contra de los diseños de puentes federados.

También hay aquí una tendencia más amplia que es fácil pasar por alto entre los detalles de un solo incidente. Este exploit por sí solo elevó el total de los hackeos de criptomonedas de la semana por encima de los 320 millones de dólares, y otras pérdidas menores, incluido un exploit en el depósito en garantía de Notional Finance por valor de aproximadamente 1,7 millones de dólares, señalado por separado por los monitores de seguridad, se sumaron a esa cifra. Las cadenas laterales y los puentes siguen siendo el lugar por donde se escapa el dinero, no porque la capa base de Bitcoin sea débil, sino porque todo lo que se construye a su alrededor hereda los errores que haya en su propio software.

Blockstream no ha indicado cuándo se reanudará por completo el funcionamiento de Liquid, ni ha confirmado la identidad del atacante, ni si «sombrero blanco» es la etiqueta adecuada para alguien que se llevó casi toda la reserva de la red antes de aceptar negociar. Por ahora, la historia es la de una cadena lateral de Bitcoin a la espera de una promesa, escrita en mensajes de la cadena de bloques, por parte de la misma persona que acaba de demostrar que esa promesa era necesaria en primer lugar.