Liquid Network ha recuperado 3.400 BTC, con un valor aproximado de 269,2 millones de dólares, de los autodenominados hackers de sombrero blanco responsables de un retiro de 4.000 BTC, aunque casi 47 millones de dólares siguen pendientes.
Los datos on-chain muestran que los actores devolvieron 3.400 BTC, valorados en unos 268,2 millones de dólares en el momento de la confirmación, a la billetera de la Federación Liquid en el bloque de Bitcoin 965.950. La transferencia recuperó aproximadamente el 85% de los fondos retirados, mientras que 598,5 BTC, valorados en unos 47 millones de dólares, permanecieron en la dirección de los actores. Blockstream había informado previamente al grupo a través de un mensaje de transacción firmado que sus nodos puente estaban parcheados y que los fondos eran "seguros de devolver".
Alrededor de 598,5 BTC, valorados en aproximadamente 47 millones de dólares, permanecieron en la dirección vinculada al retiro después de la transferencia mayor. Los actores no han explicado públicamente por qué retuvieron las monedas restantes ni han declarado si seguirá otro reembolso.
El incidente del domingo comenzó cuando un cliente envió 4.000 Liquid Bitcoin, o L-BTC, al servicio de "peg-out" de SideSwap. SideSwap permite a los usuarios mover valor desde la sidechain de Liquid de vuelta a la red de Bitcoin a través de un proceso de retiro autorizado.
Los actores se identificaron posteriormente como "whitehats" en un mensaje adjunto a una transacción de Bitcoin. Los hackers de sombrero blanco generalmente encuentran y reportan debilidades de seguridad para que los desarrolladores puedan repararlas, a menudo recibiendo una recompensa bajo términos acordados con el proyecto afectado.
Sin embargo, ningún acuerdo divulgado públicamente ha establecido que los actores de Liquid tuvieran permiso para retirar los fondos. Blockstream y los actores tampoco han publicado términos que otorguen una recompensa o permitan al grupo retener casi 600 BTC.
Como informó crypto.news antes de la devolución, los actores habían ofrecido devolver "la mayoría" de los Bitcoin una vez que Blockstream solucionara la vulnerabilidad. En ese momento, no se había confirmado ningún reembolso, y el retiro representaba aproximadamente el 95% del Bitcoin supuestamente mantenido en la billetera de la federación de Liquid.
La comunicación entre Blockstream y los actores se llevó a cabo a través de mensajes adjuntos a transacciones de Bitcoin, permitiendo a ambas partes intercambiar instrucciones sin depender de un servicio de mensajería privada.
En un mensaje de transacción, los actores dijeron a Blockstream que reparara el fallo antes de devolver el Bitcoin.
"Por favor, solucionen el error primero", decía el mensaje. "La cadena está en riesgo en el último commit ahora mismo. Asegúrense de que cada nodo esté parcheado. Luego transferiremos el dinero de forma segura después de confirmar la corrección".
Tras esa confirmación, los actores enviaron 3.400 BTC a la dirección de la Federación Liquid. El intercambio muestra que el reembolso dependía de que los actores aceptaran la declaración de Blockstream de que los nodos afectados eran seguros, aunque ninguna de las partes ha publicado un informe técnico que identifique la falla o explique cómo fue posible el retiro.
Liquid deshabilitó sus nodos puente después de detectar la transacción y pidió a los exchanges que suspendieran los depósitos y retiros de L-BTC. El cierre restringió el movimiento entre Liquid y la capa base de Bitcoin mientras los desarrolladores investigaban el incidente y aplicaban el parche.
Blockstream ha dicho que la clave utilizada durante el retiro no fue comprometida, según Reuters. La compañía no ha publicado un informe post-mortem completo que detalle si la falla afectó a SideSwap, el software del puente, el código base Elements de Liquid u otra parte del proceso de "peg-out".
Charles Guillemet, Director de Tecnología de Ledger, desafió la descripción que los actores hicieron de sí mismos después de que devolvieran la mayoría de las monedas pero retuvieran casi 600 BTC.
"Así que, 3.400 BTC fueron reembolsados", escribió Guillemet en X. "Los 'sombreros blancos' todavía tienen 600 BTC. Si esto fue una recompensa negociada bajo un contrato cifrado firmado on-chain, ¡parece más una extorsión que un hackeo de sombrero blanco!".
Su comentario se centró en la falta de términos divulgados que cubrieran el Bitcoin retenido. Una recompensa por errores convencional normalmente establece las condiciones de la recompensa y devolución antes de que un investigador conserve parte de los fondos afectados, mientras que no se ha hecho público ningún acuerdo comparable entre Blockstream y los actores.
Un problema similar surgió después del exploit del puente Verus Ethereum en mayo. En ese caso, el atacante devolvió el 75% de los fondos robados y se quedó con 1.350 ETH, valorados entonces en unos 2,8 millones de dólares, después de que Verus ofreciera públicamente los términos de un acuerdo. El reembolso de Liquid difiere porque Blockstream no ha dicho que los 598,5 BTC restantes constituyan una recompensa aprobada.
Las afirmaciones de "sombrero blanco" tampoco determinan por sí solas el estatus legal de un actor. Cualquier evaluación legal dependería de factores como la autorización, el método utilizado para obtener los activos, las comunicaciones entre las partes y las leyes aplicables. Ningún regulador o agencia de aplicación de la ley de EE. UU. ha anunciado una acción relacionada con el retiro de Liquid.
Liquid es una sidechain federada de Bitcoin desarrollada por Blockstream. Los usuarios bloquean BTC a través de su sistema de "peg" y reciben L-BTC en la sidechain en una proporción de uno a uno, lo que permite una liquidación y transferencias de activos más rápidas sin mover cada transacción a través de la capa base de Bitcoin.
Un reciente explicador de seguridad de puentes describió cómo los sistemas que bloquean activos en una red y emiten tokens correspondientes en otro lugar dependen de la seguridad de sus sistemas de custodia, validación y procesamiento de mensajes. Las fallas en cualquiera de esos puntos pueden interrumpir los rescates incluso cuando la blockchain subyacente sigue funcionando normalmente.
Para los usuarios con sede en EE. UU., el problema inmediato es operativo más que un cambio en las reglas federales de criptomonedas. Los titulares estadounidenses que usan L-BTC se enfrentan a los mismos depósitos, retiros y servicios de "peg" suspendidos que otros usuarios, mientras que el BTC nativo mantenido directamente en la blockchain de Bitcoin es independiente del sistema de sidechain de Liquid.
Liquid no ha revelado si los 3.400 BTC devueltos han restaurado completamente el respaldo para el suministro correspondiente de L-BTC. La red tampoco ha dicho cómo planea manejar cualquier brecha creada por los 598,5 BTC que aún controlan los actores.
No se ha dado un tiempo de reapertura para los nodos puente, y aún se les pedía a los exchanges que mantuvieran los depósitos y retiros de L-BTC suspendidos. Blockstream tampoco ha publicado el prometido informe técnico sobre la falla ni ha confirmado si los actores tienen la intención de devolver el Bitcoin restante.
BTC