Los supuestos hackers éticos que robaron alrededor de 4.000 bitcoins de Liquid Network han devuelto 3.400 BTC, valorados en unos 263 millones de dólares.
El ataque se produjo a través de una vulnerabilidad del software que utiliza Liquid, una red vinculada a Bitcoin y desarrollada por Blockstream. El problema permitía crear LBTC, el token que representa a Bitcoin dentro de Liquid, sin que existieran bitcoins reales que los respaldasen.
Para entenderlo de forma sencilla, Liquid funciona como una especie de representación de Bitcoin fuera de su red principal. Cuando un usuario deposita un bitcoin en Liquid, recibe un LBTC que representa ese activo. Ese LBTC debería estar siempre respaldado por un Bitcoin real. El fallo permitía romper esa equivalencia.
Los atacantes aprovecharon el error para generar unos 4.000 LBTC sin respaldo y utilizarlos después para retirar bitcoins auténticos de la reserva de Liquid. No tuvieron que hacerse con las claves privadas de la cartera ni vulnerar directamente el sistema de autorización de las retiradas. El problema estaba en el propio software encargado de comprobar que las operaciones eran válidas.
Liquid reaccionó paralizando la red y suspendiendo las operaciones con LBTC mientras sus responsables investigaban el incidente y aplicaban las correcciones necesarias.
Un sombrero blanco, pero con manchas
La peculiaridad del caso es que los autores se presentan como hackers de sombrero blanco (white hats), el término utilizado para referirse a investigadores que descubren vulnerabilidades con fines de seguridad. En mensajes publicados en la propia cadena de bloques, afirmaron que habían aprovechado el fallo para demostrar que la red estaba en peligro y reclamaron que se corrigiera antes de devolver los fondos.
Su intención declarada sería, por tanto, evitar que otro atacante pudiera descubrir el mismo agujero y utilizarlo para vaciar la reserva de Liquid. Una vez solucionado el problema, procedieron a devolver la mayor parte de los bitcoins que habían retirado.
La etiqueta de ‘hackers éticos’, sin embargo, no está exenta de polémica. Los atacantes no tenían autorización pública para retirar cientos de millones de dólares y todavía conservan cerca de 47 millones. No está claro si esa cantidad forma parte de una eventual recompensa por haber descubierto la vulnerabilidad o si simplemente han decidido quedarse con ella.
En definitiva, el incidente pone de manifiesto que una red basada en criptomonedas no depende únicamente de la seguridad de sus claves. Un error en el código que controla la creación y validación de los activos puede ser suficiente para provocar pérdidas millonarias, incluso aunque las claves que protegen los fondos no hayan sido robadas.
Deja una respuesta