Este artículo fue compilado y organizado por BlockWeeks
Resumen del incidente
Liquid Network es una cadena lateral de Bitcoin que recientemente fue víctima del robo de 4000 BTC (aproximadamente 320 millones de dólares) por parte de un hacker que se autodenomina "sombrero blanco", pero el atacante solo devolvió el 85% de los fondos.
Método del robo
El domingo, el hacker robó 4000 BTC del consorcio Liquid (la entidad responsable de la producción de bloques de la cadena lateral y del peg-in/peg-out). El atacante explotó una vulnerabilidad en el código del nodo de la cadena lateral para generar artificialmente 4000 L‑BTC (la versión Liquid del bitcoin envuelto), y posteriormente transfirió los fondos a la cadena principal a través del servicio de reenvío automático de SideSwap. Aunque las direcciones de retiro deben estar incluidas en una lista blanca, el mecanismo de reenvío automático de SideSwap permite a cualquier entidad transferir fondos primero a su dirección en la lista blanca y luego reenviarlos automáticamente al solicitante del retiro, eludiendo así la restricción.
Comunicación y negociación en la cadena
El atacante consolidó los fondos en una única dirección y escribió en el campo OP_RETURN: "Somos sombreros blancos, por favor contacten a través de la cadena". Blockstream, el principal desarrollador del repositorio de código de Liquid, se comunicó posteriormente con el hacker a través de OP_RETURN. Tras varias rondas de interacción, el hacker devolvió 3400 BTC (85%). Ambas partes utilizaron mensajes cifrados: Blockstream cifró con la dirección de Bitcoin del hacker, y el hacker respondió cifrando con la clave PGP pública de Blockstream. A mediados de esta semana, el 15% restante (600 BTC) seguía retenido en la dirección del hacker, y la negociación parece haberse roto. El 9 de septiembre, el hacker envió un mensaje en texto plano a Blockstream, acusándolo de "negligencia" y exigiendo el pago de una recompensa del 10% (aproximadamente 3400 BTC, valorados en unos 26 millones de dólares), o de lo contrario retendría el 15% restante de los fondos y amenazó con revelar las claves privadas descifradas. En cuatro días, ambas partes enviaron un total de 28 mensajes. Además, la dirección del hacker recibió numerosos otros mensajes, incluyendo solicitudes de devolución de fondos, ofertas de representación legal, anuncios de memecoins, etc. Su cantidad de correos OP_RETURN superó en un día la cantidad recibida por el bloque génesis de Satoshi Nakamoto en diez años.
La controversia del comportamiento de sombrero blanco
El atacante se autodenomina sombrero blanco, pero un verdadero sombrero blanco debería divulgar responsablemente la vulnerabilidad a los desarrolladores, en lugar de llevar a cabo primero el robo y luego negociar la devolución. Solo en el caso de que un sombrero negro pudiera robar primero, un ataque proactivo seguido de devolución tendría justificación. Esta vulnerabilidad podría haberse reportado directamente a Blockstream y parcheado, a diferencia de la vulnerabilidad de Coldcard que no puede repararse de forma remota. Un verdadero sombrero blanco ya ha anunciado que puede "robar" 50 BTC de usuarios de Coldcard y ha puesto los activos en un fideicomiso de Wyoming, con planes de devolver todos los fondos. Sin embargo, este atacante retiene el 15% de los fondos como moneda de cambio en la negociación, lo que en esencia constituye extorsión, no un comportamiento de sombrero blanco.
Impacto en la industria
El incidente de Liquid no es un evento con impacto sistémico en el ecosistema de Bitcoin, pero es el más reciente de una serie de robos de BTC de alto perfil (incluyendo Coldcard, BTCPay Server, etc.). Estos eventos demuestran que la comunidad de Bitcoin se enfrenta a problemas de robo en la red similares a los de otras blockchains más expresivas (como Ethereum, Solana). La simplicidad del lenguaje de código de Bitcoin y su limitada programabilidad han limitado históricamente su superficie de ataque en la cadena, pero los eventos recientes muestran que el riesgo de seguridad está aumentando. Existe una especulación generalizada de que los atacantes podrían haber utilizado IA para identificar y explotar la vulnerabilidad. A medida que las "clanker wars" continúan, la urgencia de reforzar el código de Bitcoin y de todo el ámbito cripto aumenta cada vez más.
