USD
Blockstream rechaza rescate del exploit de Liquid y se frena la recuperación
La empresa cuestiona la afirmación de “white-hat” de los hackers tras devolverse la mayoría de los fondos
TL;DR
- Blockstream rechazó la exigencia de recompensa de los explotadores de Liquid y les dijo que devolvieran el Bitcoin restante.
- El exploit se debió a una vulnerabilidad de caché en la verificación de range-proof en Elements, no a claves de la federación comprometidas.
- Liquid restableció la producción de bloques y las transacciones tras desplegar una actualización de software de emergencia, mientras los peg-outs siguieron desactivados.
Opera con más inteligencia en Jupiter, el DEX líder de Solana creado para una ejecución rápida y una gran liquidez.
Intercambia tokens a tipos competitivos, enruta automáticamente a través de múltiples fuentes de liquidez y accede a perpetuos, DCA y herramientas avanzadas de trading — ¡todo en un solo lugar!
Blockstream el 11 de sept. de 2026, rechazó las condiciones de pago exigidas por los actores detrás del exploit de Liquid Network, afirmando que no pagaría por la devolución de propiedad robada ya que unos 598.5 BTC seguían pendientes. Blockstream también rechazó la descripción de los actores de sus acciones como trabajo de seguridad “white-hat” y dijo que trabajaría con las fuerzas del orden, exchanges, proveedores de servicios y especialistas forenses si no se devolvían los fondos restantes.
Blockstream dijo que había interactuado con los explotadores de buena fe mientras buscaba recuperar los fondos, pero se negó a sus condiciones financieras. Su mensaje fue tajante: “Devuelvan el bitcoin”. La empresa afirmó que retener activos y condicionar su devolución a una compensación no podía considerarse divulgación responsable.
“Tomar activos sin autorización y retener su devolución es un delito, no divulgación responsable. No es actividad white-hat. Es robo”, dijo Blockstream.
Blockstream también enmarcó su negativa como un asunto que afecta de forma más amplia a los desarrolladores de software de código abierto. “No seremos parte del precedente de que el software de código abierto desarrollado para el bien de la comunidad de Bitcoin obligue a sus desarrolladores a pagar un rescate que excede con creces su participación económica”, dijo la empresa.
La empresa agradeció a la comunidad de Bitcoin por su apoyo y dijo que los explotadores aún podían resolver la disputa devolviendo voluntariamente los activos. Blockstream advirtió que la actividad en blockchain seguiría siendo rastreable, afirmando: “Las transacciones no desaparecen, y tampoco la evidencia que dejan”.
Blockstream añadió: “No pagaremos por la devolución de propiedad robada. No abandonaremos a nuestros usuarios. La comunidad de Bitcoin no dejará de perseguir los fondos”.
El exploit creó LBTC sin respaldo por una vulnerabilidad en Elements
Liquid’s los hallazgos del incidente del 8 de sept. atribuyeron el exploit a una vulnerabilidad relacionada con el almacenamiento en caché de las verificaciones de range-proof en Elements, el software subyacente de Liquid Network. El fallo permitió crear LBTC sin respaldo, sin el Bitcoin correspondiente en reserva, antes de que los activos se convirtieran en BTC real mediante la infraestructura de retiros de Liquid.
Liquid dijo que los operadores de la red no fueron hackeados y que no se comprometió ninguna clave. Esta distinción separa el incidente de un compromiso directo de la infraestructura de firma de la federación: la vulnerabilidad permitió que LBTC inválido entrara en un proceso que finalmente resultó en retiros de Bitcoin válidos.
El explotador utilizó SideSwap, un wallet y plataforma de trading de Liquid Network, para pasar del LBTC sin respaldo a BTC. SideSwap es miembro de Liquid Federation y posee una clave de autorización de peg-out, lo que permitió convertir el LBTC ilegítimo mediante lo que parecía un proceso estándar de peg-out.
La cronología y las cifras principales fueron las siguientes:
Antes de devolver la mayor parte de los fondos, el explotador publicó un mensaje onchain diciéndole a Blockstream que “arregle primero el bug” y dijo que “la mayor parte” del Bitcoin se devolvería después. Posteriormente, a medida que avanzaba el proceso de recuperación, se envió de vuelta la mayoría de los fondos.
El explotador exigió una recompensa tras devolver la mayoría de los fondos
Un mensaje OP_RETURN posterior exigió que Blockstream financiara una recompensa con su propio dinero. El CEO de Jan3 y ex director de estrategia de Blockstream, Samson Mow, compartió públicamente el mensaje.
“DEBERÁS pagar el 10% con tu propio dinero como bug bounty o causarás a todos tus holders una pérdida del 15% por tu irresponsabilidad y tacañería”, escribió el explotador.
Blockstream rechazó ese enfoque, afirmando que retener activos mientras se exigía una compensación equivalía a robo, no a divulgación responsable de seguridad. La objeción de la empresa abarcó tanto la exigencia financiera como el principio de obligar a desarrolladores de código abierto a financiar personalmente la recuperación de activos tras un exploit.
El trabajo de recuperación continuó independientemente de la disputa. Liquid reinició inicialmente produciendo bloques vacíos mientras las transacciones y las transferencias de Bitcoin seguían suspendidas. Más tarde se reanudaron las transacciones a medida que la red avanzaba en el proceso de recuperación, pero los peg-outs permanecieron desactivados “mientras continúa la etapa final de la recuperación”.
Restaurar la reserva BTC/LBTC siguió formando parte de ese proceso porque la vulnerabilidad había permitido convertir LBTC sin respaldo en Bitcoin real. Devolver la mayoría de los fondos retirados reparó gran parte de ese déficit de reservas, pero el saldo retenido impidió que la recuperación se completara.
Blockstream dijo que no devolver el Bitcoin restante activaría esfuerzos de recuperación más amplios que involucrarían a las fuerzas del orden, exchanges centralizados, proveedores de servicios y especialistas en forensia de blockchain. La empresa afirmó que usaría el rastro permanente de las transacciones para perseguir los fondos e identificar a los actores responsables.
Este artículo ha sido refinado y mejorado por ChatGPT.
