Cinco semanas después de que un atacante explotara un fallo en el software Elements de Blockstream, que sustenta Liquid Network, los retiros de bitcoin desde la sidechain siguen suspendidos. La reserva que respalda los tokens L-BTC cubre actualmente solo el 85,8% de la oferta en circulación, dejando una brecha de aproximadamente 603 BTC, por un valor cercano a los 50 millones de dólares, antes de poder restablecer la paridad.
El exploit tuvo lugar el 6 de septiembre, cuando una vulnerabilidad en Elements permitió la creación y el canje de L-BTC sin la autorización adecuada. Según el informe de incidente de Blockstream, publicado el 23 de septiembre, el fallo subyacente en el mecanismo de caché de Elements existía desde 2018. A las 13:53 UTC del 6 de septiembre, el atacante generó aproximadamente 4.000 L-BTC sin respaldo real en bitcoin, probando primero el exploit con un retiro de 2,5 L-BTC antes de escalar la operación. Toda la operación duró 35 minutos. Hacia las 14:28 UTC, la federación ya había liberado 3.996,02 BTC en la red de Bitcoin, vaciando una reserva que antes del ataque rondaba los 4.205 BTC.
El informe de Blockstream señala que el atacante no comprometió las claves de firma de la federación ni la clave de retiro de SideSwap. En cambio, el sistema automatizado de SideSwap procesó las solicitudes de retiro sin límite ni revisión humana, lo que permitió que los fondos sustraídos se movieran con rapidez. El USDT emitido en Liquid Network no se vio afectado por el exploit.
Recuperación parcial, déficit persistente
Un actor de sombrero blanco devolvió 3.400 BTC a la red el 7 de septiembre, un día después del exploit. Eso dejó entre 598 y 603 BTC sin recuperar. Un hacker implicado en el incidente exigió una recompensa del 10% sobre los fondos que aún retenía, una exigencia que Blockstream rechazó. La empresa anunció el 11 de septiembre que no pagaría un rescate.
Cada L-BTC actualmente en circulación está respaldado por aproximadamente 0,86 BTC en lugar de un bitcoin completo. Los datos del explorador de Liquid Network muestran 3.632,23 BTC en reserva frente a 4.234,76 L-BTC en circulación, una discrepancia que mantiene congelados los peg-out desde hace 35 días.
Condiciones para la reapertura
Liquid retomó la producción de bloques y las transacciones ordinarias el 10 de septiembre, cuatro días después del exploit, pero los retiros de vuelta a la red principal de Bitcoin no se han restablecido. La red ha fijado cuatro condiciones antes de poder reabrir los peg-out: cobertura total de la reserva frente al L-BTC en circulación, adopción del software Elements actualizado, finalización de las auditorías de seguridad y nuevas disposiciones de gestión de claves.
La versión 23.3.4 de Elements, que corrige el fallo explotado en septiembre, se publicó el 9 de septiembre. Una auditoría externa independiente de esa versión sigue en curso. Blockstream no ha dado una fecha para cuándo podrían reanudarse los retiros, dejando a los poseedores de L-BTC sin un calendario claro sobre cuándo el token volverá a ser plenamente canjeable por bitcoin.
