Una falla en el sistema que valida las transacciones de Liquid Network derivó en uno de los mayores incidentes de seguridad del ecosistema cripto de 2026, donde cerca de 4.000 BTC, valuados en unos u$s320 millones, fueron robados de la wallet de la Federación Liquid.
El episodio obligó a detener temporalmente las operaciones de la red y puso bajo la lupa la seguridad de una infraestructura diseñada para funcionar como una cadena lateral de Bitcoin y facilitar transferencias y liquidaciones de activos digitales.
De acuerdo con la información trascendida, el problema no habría estado en una clave privada robada, sino en una vulnerabilidad del software utilizado por Liquid, basado en Elements, un código derivado de Bitcoin.
La falla habría afectado el mecanismo encargado de validar determinadas transacciones, ya que el atacante consiguió generar aproximadamente 4.000 L-BTC sin el respaldo correspondiente en Bitcoin y que posteriormente uso esos activos para solicitar su conversión a BTC reales.
La operación terminó con el retiro de unos 3.996 BTC desde las reservas de la Federación Liquid a través de SideSwap, una plataforma autorizada para procesar operaciones de salida de la red.
Un punto especialmente relevante es que no habría sido necesario comprometer las claves de la Federación, ya que Liquid indicó que la clave de autorización utilizada en el proceso no fue vulnerada.
Cuál fue el alcance del atentado en las reservas de Liquid
Antes del incidente, la Federación Liquid mantenía alrededor de 4.200 BTC, por lo que el retiro de aproximadamente 4.000 BTC representa cerca de 95% de esas reservas, al dejar unos 197 BTC en la wallet de la Federación.
Esto resultó significativo porque Liquid funciona bajo un modelo en el que los L-BTC son respaldados por BTC depositados en la Federación: por tal motivo, una falla es capaz de alterar la relación entre los activos emitidos y sus reservas, algo que puede afectar directamente la confianza en todo el sistema.
Por otro lado, después de detectar el incidente, Liquid deshabilitó temporalmente los nodos puente y frenó nuevas transacciones.
Los exchanges también fueron notificados y comenzaron a suspender los depósitos y retiros de L-BTC.
Esto impidió que los usuarios pudieran realizar normalmente operaciones de entrada y salida de Bitcoin desde la red.
Según Liquid, otros activos que circulan dentro de la red, entre ellos USDT, DePix y determinados activos del mundo de los activos reales tokenizados (RWA), no habrían sido afectados directamente por el incidente.
Por qué los atacantes se autodenominaron "hackers de sombrero blanco"
La transacción mediante la cual fueron retirados los fondos incluyó un mensaje en la cadena de Bitcoin en el que los responsables se identificaron como "white-hat hackers", una denominación utilizada para referirse a investigadores de seguridad que explotan vulnerabilidades con fines supuestamente defensivos o éticos.
Sin embargo, la metodología utilizada generó un fuerte cuestionamiento, ya que los fondos fueron retirados efectivamente de las reservas de Liquid y quedaron bajo control de los atacantes.
Durante las horas posteriores al ataque, los responsables comenzaron a comunicarse con Blockstream y condicionaron la devolución de los BTC a que se solucionara primero la vulnerabilidad.
Los mensajes fueron enviados mediante transacciones de Bitcoin utilizando el campo OP_RETURN y también mediante comunicaciones cifradas con PGP.
Según la información que se conoció, los atacantes afirmaron que devolverían la mayor parte de los fondos una vez que el error fuera corregido y todos los nodos estuvieran protegidos.
De esta forma, este episodio puso otra vez en discusión uno de los principales desafíos de las infraestructuras vinculadas a Bitcoin, sobre la seguridad y su dependencia de proteger las claves privadas.
Por qué blockstream negocia con los atacantes
En este caso, las primeras investigaciones apuntaron a una vulnerabilidad en la lógica de validación de las transacciones, algo que permitió que el sistema aceptara activos que, en teoría, no tenían el respaldo necesario.
Un ataque tradicional podría consistir en robar una clave y utilizarla para mover fondos, aunque en este caso el problema habría estado en el propio mecanismo que determina qué activos son válidos y qué cantidad de Bitcoin debe liberar la Federación.
Mientras continúa la investigación, Blockstream –la compañía detrás del desarrollo de Liquid– mantiene conversaciones con quienes todavía controlan los BTC sustraídos.
El principal pedido de los atacantes es que la vulnerabilidad sea corregida antes de devolver los fondos, cerca de 3.998,5 BTC que permanecen retenidos en la dirección asociada al ataque al momento de las últimas actualizaciones.
De esta forma, si los responsables realmente actuaron como hackers de sombrero blanco, la devolución de los fondos podría producirse una vez que el error sea solucionado.
Sin embargo, el incidente ya expuso una vulnerabilidad capaz de comprometer casi la totalidad del respaldo de BTC de una infraestructura utilizada para mover activos dentro del ecosistema.
