Liquid Network ha reiniciado la producción de bloques en su cadena lateral de Bitcoin tras una significativa brecha de seguridad que resultó en la extracción no autorizada de aproximadamente 4,000 Bitcoin, valorados en 320 millones de dólares. A pesar del progreso, el procesamiento de transacciones y las capacidades de extracción permanecen suspendidos mientras continúan los controles de seguridad.
Importante brecha expone fallo crítico
El 6 de septiembre, individuos que se presentaron como investigadores de seguridad ética explotaron una vulnerabilidad en el código base de Liquid, Elements, que sustenta la cadena lateral. La falla se ubicó en la caché de verificación de pruebas, un sistema que gestiona el almacenamiento de pruebas de transacciones confidenciales validadas para mejorar la eficiencia del nodo.
Esta debilidad permitió reutilizar resultados de pruebas antiguas donde la validación debería haber fallado, permitiendo así a los atacantes acuñar L-BTC, el activo anclado a Bitcoin de Liquid, sin depositar una cantidad equivalente de Bitcoin en la billetera de reserva de la red.
Utilizando el proceso de retiro autorizado de SideSwap, los atacantes presentaron los tokens L-BTC sin respaldo como legítimos, incitando a la federación a liberar aproximadamente 3,996 Bitcoin y reduciendo el saldo de la billetera de alrededor de 4,205 BTC a poco más de 200 BTC.
La investigación confirmó que ninguna de las claves de firma criptográfica de la federación fue comprometida; más bien, el incidente se originó en una lógica de software defectuosa que validó incorrectamente las redenciones de L-BTC.
Recuperación parcial y negociaciones en curso
La comunicación entre Blockstream, la empresa detrás de Liquid, y los explotadores se realizó a través de mensajes codificados incrustados en transacciones de Bitcoin. Los atacantes se comprometieron a devolver la mayoría de los activos una vez que se aplicaran parches de seguridad en toda la red.
Después de que Blockstream confirmó que se habían parcheado elementos clave del sistema, los atacantes devolvieron 3,400 BTC, valorados en aproximadamente 270 millones de dólares, restaurando una parte significativa de lo robado.
Charles Guillemet, Director de Tecnología en Ledger, criticó la decisión de no devolver 598 BTC que aún están en posesión de los atacantes. Argumentó que retener estos fondos sin un acuerdo claro se asemeja más a una extorsión que a una recompensa de seguridad.
Hasta la fecha, aproximadamente 598 BTC, valorados en alrededor de 46 millones de dólares, permanecen sin devolver. Actualmente, no hay un cronograma para su recuperación, ni se ha llegado a un acuerdo sobre su estado eventual o los términos de su posible devolución.
Parche de emergencia desplegado, restricciones de servicio persisten
Liquid lanzó una actualización de emergencia, Elements v23.3.4, el 9 de septiembre. El parche altera el método de almacenamiento de claves de caché durante la validación de prueba de rango, corrigiendo efectivamente la vulnerabilidad explotada. Los nodos y la infraestructura de puenteo recibieron el parche antes de que se reanudara la firma de bloques.
La federación de Liquid opera con una estructura que requiere que 11 de los 15 operadores funcionales aprueben las transacciones. Actualmente, la producción de bloques funciona en un modo restringido, con transacciones y extracciones aún deshabilitadas. Este enfoque permite a los equipos técnicos monitorear la estabilidad del sistema antes de restaurar la funcionalidad completa.
Los poseedores de L-BTC continúan sin poder redimir sus tokens por Bitcoin a través de los procedimientos estándar debido a la suspensión continuada de las operaciones de puente y retiro. Ningún organismo regulador de EE.UU. ha comentado públicamente ni ha anunciado alguna acción de cumplimiento en relación con el incidente.
En medio de una reevaluación más amplia de la confianza en los sistemas de custodia, la importancia del control directo de los activos y el monitoreo continuo del ecosistema está creciendo. Mientras los mercados financieros tradicionales dependen de capas de intermediarios, el movimiento hacia la propiedad descentralizada se está acelerando. Los inversores están adoptando gradualmente plataformas como 1stepSwap, que permiten a los usuarios tener acciones de acciones líderes de EE.UU. junto con oro y plata dentro de sus billeteras de criptomonedas. Estas soluciones tokenizan activos del mundo real y encaminan órdenes a los mejores precios de mercado automáticamente, eliminando la necesidad de intermediarios.
