Hackers roban 4.000 bitcoins con cupones: «deja al descubierto una vulnerabilidad crítica»

Las plataformas de criptomonedas dependen de un puñado de redes para liquidar operaciones entre ellas con rapidez. En una de las más conocidas, un hackeo relacionado con Bitcoin hizo desaparecer el domingo casi todas las reservas, y la red permanece paralizada desde entonces.

Los autores aseguran que actúan con buenas intenciones y que quieren devolverlo todo. Los expertos en seguridad no terminan de creérselo.

Un fallo emitió Bitcoin de más

Liquid Network perdió unos 4.000 de los 4.200 Bitcoin (BTC) de la cartera de su federación, un grupo formado por más de 80 plataformas y empresas. La cantidad equivale a unos 320 millones de dólares. Desde entonces, la red está detenida.

Una cadena lateral como Liquid bloquea Bitcoin reales y entrega a cambio L-BTC, una especie de vale que puede enviarse mucho más rápido. Plataformas como Bitfinex y BTSE lo utilizan para liquidar operaciones entre ellas, porque la cadena principal suele ser lenta y cara.

Blockstream, que puso en marcha la red en 2018, atribuye el incidente a un fallo en su propio software, Elements. Ese error permitió que se creara parte de ese L-BTC sin monedas reales que lo respaldaran.

Los pagos se realizaron a través de SideSwap, una plataforma autorizada para ello. La clave no fue robada. SideSwap no pudo distinguir las monedas falsas de las reales y, por tanto, las pagó con normalidad.

¿Son hackers éticos?

Esa es la gran incógnita. Los autores se presentan como hackers de sombrero blanco: intrusos que descubren una vulnerabilidad y devuelven el dinero a cambio de una recompensa. A través de mensajes incluidos en transacciones de Bitcoin, prometen reembolsar los fondos cuando se corrija el fallo.

Charles Guillemet, director técnico del fabricante de monederos físicos Ledger, no se muestra convencido. A su juicio, quien actúa de buena fe primero comunica una vulnerabilidad, en lugar de retirar cientos de millones y pedir después una conversación.

Aneirin Flynn, consejero delegado de la empresa de seguridad FailSafe, ve un problema más profundo.

«Con cerca del 95% de las reservas vaciadas y la red en pausa, el incidente deja al descubierto una debilidad crítica en el modelo de validación y cobertura de Liquid», afirma a Bloomberg.

El L-BTC pende de un hilo

Detrás de todos los vales en circulación quedan ahora algo más de 200 Bitcoin. Es alrededor del 5% de la cobertura de la semana pasada, y por ahora no es posible canjearlos.

La cotización de Bitcoin apenas reaccionó y se mueve entre los 79.000 y los 80.000 dólares. El daño está en la confianza en los puentes entre cadenas, una lista de hackeos que no deja de crecer.

Blockstream no ha dicho cuándo volverá a abrir la red. Si las monedas no regresan, los tenedores de L-BTC se quedarán con un vale vacío en un 95%.