Un movimiento de casi 4.000 BTC puso en evidencia un problema grave, acerca de qué ocurre cuando un sistema blockchain ejecuta correctamente una operación que, desde el punto de vista humano, podría haber sido producto de un engaño.
El episodio tuvo como protagonista a Liquid Network, red vinculada al ecosistema de Bitcoin, que perdió 3.998,5 BTC –unos u$s320 millones–, cuando las monedas abandonaron las reservas de la plataforma.
Pero el caso tiene una particularidad que lo diferencia: en este episodio no fue necesario vulnerar una contraseña, robar una clave privada o forzar técnicamente el sistema, sino que la red ejecutó una instrucción que, desde el punto de vista del protocolo, era válida.
En una blockchain, el sistema verifica si una operación cumple con las reglas programadas y, si las condiciones son correctas, la ejecuta: en este caso, esa lógica habría permitido que los fondos fueran transferidos sin que existiera una intrusión técnica convencional, aunque en este caso la diferencia fue fundamental.
En un robo informático tradicional, por ejemplo, un atacante puede obtener credenciales ajenas, vulnerar una barrera de seguridad o acceder sin autorización a un sistema, sin embargo, en este caso el protocolo recibió una instrucción que pudo procesar como legítima.
No obstante, más allá de la legitimidad del protocolo, el resultado fue el mismo, ya que millones de dólares en Bitcoin dejaron de estar bajo el control de quienes los administraban.
Si bien nadie ingresó ilegalmente a un sistema ni quebró una contraseña, puede esta caso catalogarse como robo, ya que si una persona consiguió que un algoritmo ejecutara una acción que no debía ejecutar, sería equivalente a engañar a una víctima humana.
El caso expuso una zona gris que existe entre los sistemas automatizados y el derecho penal tradicional.
Conceptos como robo, estafa, acceso indebido o manipulación informática fueron desarrollados pensando, en buena medida, en sistemas donde existe una persona o una organización que toma decisiones.
Las redes blockchain agregaron una variable diferente, donde los códigos que ejecutan automáticamente determinadas reglas y que, una vez cumplidas las condiciones previstas, no distinguen necesariamente entre una operación legítima y otra obtenida mediante una maniobra fraudulenta.
Por otro lado, en el universo cripto suele repetirse la idea de que "el código es la ley", y si una operación cumple las reglas matemáticas y criptográficas establecidas por un protocolo, la red la considera válida.
Además, que una blockchain haya validado una transacción no significa necesariamente que esa operación sea legítima desde el punto de vista jurídico:
La diferencia entre ambas dimensiones previamente mencionadas puede convertirse en uno de los grandes desafíos regulatorios para la industria de los activos digitales.
El caso tiene además otra consecuencia, acerca de la dificultad para determinar quién debe responder económicamente cuando el sistema funciona exactamente como fue diseñado, pero el resultado termina perjudicando a los usuarios.
Según el reporte, el episodio dejó expuesto otro problema en relación a si las coberturas de seguros pueden no contemplar situaciones en las que no existe una intrusión informática tradicional.
Para una aseguradora, determinar si ocurrió un "hackeo" puede ser relativamente sencillo cuando existe evidencia de que un atacante vulneró una contraseña o atravesó una barrera de seguridad.
El caso de Liquid Network gira alrededor de los bitcoins desaparecidos y también funciona como una advertencia para una industria que aún construye su marco regulatorio.
Las blockchains pueden ejecutar operaciones de manera automática, transparente y verificable. Sin embargo, esas características no eliminan la necesidad de determinar responsabilidades cuando una persona utiliza las reglas de un sistema para obtener un resultado que perjudica a terceros.