El pasado 6 de septiembre, aproximadamente 4.000 BTC fueron transferidos desde la billetera colectiva de Liquid Network, la cadena lateral de Bitcoin gestionada por Blockstream. Al día siguiente, el responsable del incidente restituyó 3.400 BTC tras un proceso de negociación, pero la red continúa fuera de operación, lo que ha puesto de manifiesto la elevada dependencia de numerosas plataformas hacia esta infraestructura.
Bloqueo de operaciones y consecuencias inmediatas
Blockstream desactivó de forma urgente los enlaces de conexión (nodos puente) después de confirmar el suceso en su comunicado oficial, lo que impidió cualquier movimiento de activos entre Bitcoin y Liquid. Aunque el atacante devolvió una parte significativa de los fondos, retuvo aproximadamente 598,5 BTC en otra dirección, posiblemente como una recompensa autoasignada por haber reportado la vulnerabilidad. Los enlaces de conexión permanecen deshabilitados, bloqueando depósitos y retiros en los exchanges vinculados.
SideSwap y AQUA: servicios suspendidos pero sin pérdidas de capital propio
SideSwap, la plataforma que procesó la transacción original mediante su Clave de Autorización de Peg-out (PAK), se ha visto en el centro de la crisis. No solo fue el conducto por el que se extrajeron los fondos, sino que también ha tenido que paralizar sus propios servicios de intercambio mientras dure la interrupción. Samson Mow, director ejecutivo de JAN3, confirmó que las funciones de L-BTC en su billetera AQUA quedaron afectadas por la desactivación de los enlaces de conexión. No obstante, aclaró que las transacciones de Bitcoin en la cadena principal continuaron funcionando con normalidad, ya que no dependen de Liquid.
Otras empresas integradas con Liquid, según su documentación, incluyen a Bitfinex, Bitso, BtcTurk, Bull Bitcoin, Boltz y BTCPay Server, entre otras. La mayoría no emite activos propios ni participa en la custodia colectiva del tesoro, pero igual dependía de la red para ofrecer transferencias confidenciales o liquidez de L-BTC a sus usuarios.
Distinción clave: pérdida financiera versus exposición operativa
Es fundamental no confundir la pérdida de fondos con la paralización de servicios. La pérdida financiera fue puntual y ocurrió en la billetera de la Federación, no en las plataformas conectadas, y ahora es aún menor tras la devolución parcial. La exposición operativa, en cambio, sigue siendo amplia: cualquier exchange o billetera que ofreciera L-BTC a sus usuarios permanece incapacitado para procesar depósitos o retiros, sin que ello implique que haya perdido capital propio. Para el usuario final, esto significa que alguien con L-BTC en un exchange detenido no ha perdido sus fondos, sino que estos quedaron temporalmente ilíquidos.
Lecciones para el ecosistema y perspectivas de recuperación
El incidente deja una enseñanza más allá de la lista de plataformas afectadas. Demuestra que la seguridad de una billetera colectiva, por robusto que sea su esquema de firmas, no protege contra un fallo en la capa de validación que decide qué transacciones son legítimas antes de que lleguen a esas firmas. La devolución de 3.400 BTC confirma que la negociación entre Blockstream y el atacante avanzó, pero la reactivación completa de la red exige mucho más que recuperar fondos: requiere corregir el código, actualizar cada nodo y reconstruir la infraestructura de firmas que quedó fuera de servicio.
En definitiva, el verdadero mapa de exposición de este ataque no se mide por cuántas empresas integran Liquid, sino por cuántas de ellas concentran capital real en su infraestructura sin que sus usuarios lo sepan, y por cuánto tiempo pueden seguir operando mientras esa infraestructura permanece paralizada. La devolución resuelve la mitad del problema; la otra mitad, reconstruir la confianza operativa de decenas de plataformas que dependen de una red que aún no reabre, tomará bastante más que una transacción en cadena.