El sábado por la noche, hora del este de EE. UU., alguien vació 3.996 BTC —unos 320 millones de dólares— de la billetera federada que respalda Liquid Network, la sidechain más antigua de Bitcoin. Los exchanges que manejan su token LBTC congelaron depósitos y retiros en cuestión de horas.
Liquid funciona desde 2018 bajo Blockstream. La idea es simple: exchanges, mesas OTC y fondos bloquean bitcoin, reciben LBTC a cambio, y liquidan operaciones más rápido y con más privacidad que en la cadena principal. Unos quince miembros de la federación custodian juntos el bitcoin real detrás de esos tokens.
Blockstream aseguró que ninguna clave fue robada. El problema estaba en Elements, el fork de Bitcoin Core sobre el que corre Liquid: un fallo en la caché de verificación de range proofs permitió acuñar LBTC sin bloquear el bitcoin correspondiente. Después, cambiaron esos tokens fabricados por BTC real a través de la plataforma SideSwap.
Un mensaje on-chain adjunto a las transacciones decía: "we are whitehats. contact us on chain" (somos white hats, contáctennos en la cadena). Blockstream nunca confirmó esa versión, pero abrió un diálogo y publicó un parche para todos los nodos en menos de un día.
Al confirmarse que el fallo estaba resuelto, el atacante devolvió 3.400 BTC, unos 272 millones de dólares. Se quedó con 598,5 BTC —cerca de 47 millones, un 15% del botín— sin que existiera ningún acuerdo público que llamara a eso una recompensa. Parece más una tarifa que se cobró por su cuenta.
Otros activos alojados en Liquid, como USDT y activos del mundo real tokenizados, no se vieron afectados. El episodio recuerda que incluso una infraestructura de Bitcoin conservadora y con años de trayectoria puede caer por un simple error de programación, no solo por el robo dramático de una clave.
