Liquid sustrajo 320 millones en Bitcoin por error de validación antes de parchear fallo

Tecnología · Fuente original · Leer en xataka.com

Fecha original: 7 sep. 2026, 21:00
Fecha en Limonatic: 7 sep. 2026, 21:45

Una brecha de seguridad en la red Liquid, vinculada a Bitcoin y desarrollada por Blockstream, ha provocado la salida masiva de activos digitales valorados en 320 millones de dólares. El incidente se originó el 6 de septiembre cuando los responsables informaron que alrededor de 4.000 BTC habían salido de la cartera federada, reduciendo su reserva total de unos 4.200 unidades a casi todo lo que contenía.

La organización reaccionó inmediatamente desactivando sus nodos puente y pidiendo a los exchanges que suspendieran temporalmente los depósitos y retiradas de L-BTC mientras investigaba qué había ocurrido. Liquid no es Bitcoin, sino una sidechain separada pensada para mover activos vinculados a Bitcoin con mayor rapidez, donde cada L-BTC debe corresponderse con un BTC real inmovilizado fuera de esa cadena.

El problema se centró en los propios L-BTC que llegaron hasta SideSwap, un servicio autorizado para iniciar operaciones de salida. Según la plataforma, Blockstream comunicó que aquellas 4.000 unidades habían sido creadas a partir de un fallo de Elements, el software que sustenta Liquid, lo que permitió que el mecanismo de salida no detectara nada extraño al recibir activos ya considerados válidos por el sistema.

Bitcoin no fue vulnerado durante este episodio, ya que la brecha ocurrió en una infraestructura separada basada en Elements y administrada mediante una federación. Los autores del movimiento de fondos se presentaron como 'whitehats' o hackers éticos, prometiendo devolver los activos extraídos una vez resuelto el fallo técnico que permitió la fuga.

La confianza pública en los controles automáticos de validación financiera se ve comprometida tras este evento que demuestra fallos en sistemas diseñados para garantizar seguridad. La infraestructura financiera subyacente muestra vulnerabilidades críticas cuando los sistemas aceptan operaciones ilegítimas como válidas, poniendo en riesgo reservas masivas.

El incidente involucra a múltiples entidades organizacionales, incluyendo SideSwap y la Federación, sugiriendo una complejidad operativa detrás del ataque o error técnico. La reconstrucción comunicada por SideSwap sitúa el fallo no en la retirada, sino en los propios L-BTC que llegaron hasta ella, lo que indica un problema previo en la creación de activos.

La red Bitcoin siguió funcionando con normalidad durante todo el episodio, confirmando que el riesgo no afecta directamente al ecosistema principal. Liquid es una infraestructura separada donde parte de su seguridad depende de componentes que Bitcoin no utiliza, por lo que el problema se sitúa correctamente en una capa construida para utilizar ese activo bajo reglas y mecanismos diferentes.

Imagen 1 de Liquid sustrajo 320 millones en Bitcoin por error de validación antes de parchear fallo

Análisis editorial

La confianza en la infraestructura financiera digital se tambaleó cuando una vulnerabilidad en la sidechain Liquid permitió que cerca del 95% de sus fondos custodiados, aproximadamente 4.000 BTC valorados en 320 millones de dólares, salieran de su reserva federada sin precedentes. Aunque el incidente no afectó a la red principal de Bitcoin, reveló una falla crítica en la capa intermedia gestionada por Blockstream y desarrollada con software Elements, donde un cliente envió activos que el sistema validó erróneamente como legítimos antes de procesar su retiro.

El análisis técnico sugiere que el error no ocurrió durante la operación de salida, sino previamente en la generación o validación de los tokens L-BTC dentro del ecosistema Liquid, lo que permitió que 3.996 BTC fueran liberados a pesar de ser activos inválidos. Ante esta anomalía, responsables de la red solicitaron contacto con los actores involucrados mediante transacciones de Bitcoin; estos se identificaron posteriormente como "whitehats" y prometieron devolver los fondos una vez corregido el fallo técnico, aunque su identidad ética sigue sin estar verificada por ninguna entidad independiente.

La incertidumbre persiste porque, a pesar del parche aplicado y las promesas iniciales de reintegro, la última actualización confirma que los activos permanecen bajo el control de quienes ejecutaron la operación, evidenciando un riesgo sistémico derivado de depender de infraestructuras intermedias sin validación rigurosa. La falta de materialización efectiva de la devolución y la imposibilidad de confirmar si hubo manipulación externa o una falla del software generan dudas sobre la integridad real de los mecanismos de confianza en estas redes secundarias.

Este episodio demuestra que la seguridad criptográfica no es absoluta cuando se construye sobre capas intermedias, y que las promesas de actores no verificados pueden dejar a millones expuestos sin garantías reales. Mientras tanto, el sector debe implementar controles de validación redundantes y protocolos estrictos para cualquier actor que reclame resolver incidentes críticos, recordando que en un sistema financiero digital, la confianza ciega ante fallos de validación puede costar demasiado caro.

Contexto y análisis adicional

Digest

Resumen ejecutivo

Una vulnerabilidad en la sidechain Liquid permitió procesar tokens inválidos, provocando la fuga del 95% de los fondos custodiados (aprox. 4.000 BTC).
A pesar de que los autores se identifican como 'whitehats' y prometen devolver los activos tras reparar el fallo, los fondos permanecen retenidos sin materialización.

Evidencias

El 6 de septiembre, responsables de Liquid reportaron la salida de unos 4.000 BTC desde una cartera que contenía originalmente 4.200 unidades.
SideSwap indica que el fallo no ocurrió en la operación de retiro, sino en la generación o validación previa de los tokens L-BTC dentro del software Elements.
Los actores involucrados solicitaron contacto con Blockstream mediante una transacción de Bitcoin, pero su identidad ética y veracidad siguen sin confirmación oficial.
A pesar del parche del sistema y las promesas iniciales, la actualización más reciente confirma que los activos siguen bajo control de quienes ejecutaron la operación.

Acciones

Suspender temporalmente cualquier operación de retiro (peg-out) o depósito en Liquid hasta que se verifique la integridad total de la reserva federada.
Iniciar un proceso de auditoría forense independiente para confirmar si los tokens L-BTC involucrados fueron generados por una falla del software Elements o mediante manipulación externa.
Establecer un canal de comunicación directo y verificable con los autores del incidente para monitorear el progreso técnico en la reparación del fallo antes de cualquier reintegro.

Conclusión final

La infraestructura de Liquid falló al validar activos no legítimos, provocando una pérdida crítica de valor; aunque existe un reclamo de buena fe por parte de los autores del incidente, la recuperación de los fondos sigue siendo incierta y pendiente.

Riesgos

Riesgos/alertas

Exposición financiera masiva por la fuga del 95% de los fondos (4.000 BTC) almacenados en la sidechain.
Vulnerabilidad sistémica derivada de la dependencia crítica de infraestructuras intermedias y capas secundarias distintas al protocolo base.
Incertidumbre sobre la identidad real de los actores que se autodenominan 'whitehats', impidiendo confiar en sus afirmaciones sin verificación independiente.
Riesgo de incumplimiento en la recuperación de activos, dado que las promesas de devolución no han sido materializadas tras el incidente.

Acciones recomendadas

Implementar mecanismos de verificación de identidad estrictos y auditables para cualquier actor que reclame ser un 'whitehat' o participe en la resolución de incidentes.
Desplegar controles de validación redundantes y pruebas de estrés específicas para las operaciones de salida (peg-out) en sidechains antes de liberar activos bloqueados.
Establecer protocolos de contingencia que incluyan el bloqueo inmediato de nodos puente ante anomalías detectadas, sin esperar a la confirmación total del origen del fallo.
Auditar y reforzar los mecanismos automáticos de validación financiera para asegurar que rechacen operaciones legítimas que no cumplan las reglas del sistema.

Señales/evidencias

Salida de cerca del 95% de la reserva (4.000 BTC, valorados en 320 millones de dólares) desde la cartera federada de Liquid.
El incidente se originó en una sidechain (Liquid) y no en el protocolo base de Bitcoin, evidenciando un fallo en la capa intermedia.
Los actores que gestionaron la respuesta se autodenominan 'whitehats' pero carecen de identidad verificada o confirmación independiente.
Las promesas de devolución de fondos permanecen sin materialización efectiva tras la corrección del fallo técnico.

Conclusión

El incidente en Liquid demuestra que la seguridad de los activos criptográficos depende críticamente de la integridad de las capas intermedias y no solo del protocolo base, generando riesgos financieros masivos y sistémicos cuando fallan mecanismos de validación o confianza en actores no verificados.

Autor · clanes

alberto Clanes (2)

Votos · compartir

· Abrir en el medio

Las historias descartadas o eliminadas no admiten votos ni reportes.

Sentimiento

Tono: Neutro Impacto: Neutro Financiero: Neutro

Fuentes

Fuente principal: xataka.com
https://www.xataka.com

Procedencia editorial