Blockstream recibió un ultimátum: paga una "recompensa por error" o los usuarios de Liquid cargarán con una pérdida mayor. El jueves, la respuesta de la empresa fue tajante: ni un satoshi.
Todo empezó el 6 de septiembre, cuando alguien encontró una falla en Elements, el software detrás de Liquid, la sidechain de bitcoin que Blockstream opera para exchanges y emisores de stablecoins como Tether. El atacante acuñó unos 4.000 L-BTC sin respaldo real y los convirtió en bitcoin auténtico a través de SideSwap, un miembro de la federación con permisos de retiro. En ese momento, el botín rondaba los $320 millones.
Un día después, el 7 de septiembre, el atacante devolvió de golpe unos 3.400 BTC, con un mensaje en la cadena: arreglen el error primero, luego verán el resto. Blockstream parchó la falla en días y restauró la producción de bloques el 10 de septiembre, aunque los depósitos y retiros en Liquid siguen congelados.
Los 598,5 BTC restantes —unos $47 millones— nunca volvieron. En su lugar, el atacante presentó una factura: un 10% del botín original como "recompensa por error", con la advertencia de que negarse costaría a los tenedores un 15% de su valor. Blockstream no aceptó el argumento: "No pagaremos un rescate por la devolución de fondos robados. Retener activos sin autorización es un delito, no una divulgación responsable", declaró, y anunció que trabajará con autoridades, exchanges y peritos forenses para rastrear el dinero.
El contraste con otros hackeos salta a la vista. Cuando Poly Network perdió $610 millones en 2021, el atacante devolvió casi todo por voluntad propia y hasta recibió una oferta para ser asesor de seguridad del protocolo, sin amenazas de por medio. Aquí los papeles se invierten: el atacante puso su propio precio y amenazó con consecuencias si no se pagaba. Lo que ocurra ahora importa más allá de Liquid: si Blockstream cede, el próximo hackeo de sidechain llegará con la misma factura adjunta.
