Los presuntos atacantes de Liquid Network dejaron una primera señal de intento por devolver el botín de casi 4.000 Bitcoin (BTC) mediante una transacción que incorporó información en el campo OP_RETURN, función que permite almacenar pequeñas cantidades de datos de manera pública dentro de una transacción.
El mensaje fue directo: "somos whitehats. Contáctennos on chain", y a partir de ahí comenzó una particular conversación pública entre los responsables del exploit y Blockstream.
Las partes utilizaron pequeñas transferencias de BTC, conocidas como dust o polvo, para incorporar mensajes y establecer contacto.
Por su parte, Blockstream respondió inicialmente con una instrucción concreta: "Por favor, contacten a security@blockstream.com".
Además, la compañía envió otro mensaje cifrado que incluía una firma PGP asociada a esa dirección de seguridad.
Como el contenido permaneció cifrado, la blockchain permitió observar que existía una comunicación, pero no conocer públicamente todos los detalles de la negociación.
Cómo fue la devolución de 3.400 BTC
El intercambio derivó posteriormente en una devolución parcial de los fondos, donde en uno de los mensajes publicados en la cadena, los presuntos hackers preguntaron: "enviando la mayoría de vuelta a bc1qd…., ¿está bien?".
Luego el grupo habría enviado aproximadamente 3.400 BTC de regreso a la billetera de la federación, por lo que esta devolución representó una gran parte de los activos extraídos, pero no fue el total.
Según el seguimiento de las transacciones disponible, alrededor de 598,49 BTC todavía permanecían bajo control de los presuntos atacantes.
La retención de estos BTC podría responder a las condiciones de una negociación privada, a una eventual recompensa por revelar la vulnerabilidad o a otros motivos que todavía no fueron aclarados públicamente.
Por otro lado, una vez que las direcciones vinculadas al incidente comenzaron a recibir atención, numerosos usuarios enviaron pequeñas cantidades de BTC acompañadas de mensajes OP_RETURN.
Algunos intentaron comunicarse con los presuntos hackers, mientras que otros aprovecharon la exposición para promocionar proyectos o simplemente dejar mensajes.
Cuáles fueron los mensajes enviados a los ladrones de sombrero blanco
Entre las comunicaciones aparecieron pedidos de dinero, incluyendo solicitudes de 8,5 BTC o 0,1 BTC, además de personas que afirmaban atravesar problemas económicos o familiares.
En esta línea, otros mensajes hicieron referencia a viajes o situaciones personales para intentar convencer a los receptores de transferirles fondos.
También surgieron propuestas para usar los servicios de mezcla o mover los activos hacia el token Monero, que se trata de una criptomoneda enfocada en la privacidad.
A esto se sumaron intentos de aprovechar la atención sobre el caso para promocionar algunas memecoins, como algunos usuarios anunciaron tokens denominados "WHITE HAT", compartieron enlaces de plataformas de lanzamiento y difundieron direcciones de Solana.
Incluso aparecieron mensajes que prometían duplicar los BTC enviados a determinadas direcciones, por lo que se trató de una estafa ya que ningún mecanismo legítimo de recuperación de fondos funciona enviando BTC con la promesa de recibir el doble.
¿Qué vulnerabilidad permitió el ataque?
Los reportes sobre el incidente apuntaron a un fallo de software relacionado con la validación de pruebas en Elements, la tecnología sobre la que se construye Liquid Network.
Sin embargo, esa explicación debe tratarse "con pinzas" mientras no exista una investigación técnica concluyente publicada por Blockstream o por los responsables de Liquid.
Por el momento, el mecanismo exacto que permitió retirar los fondos no debería considerarse confirmado y la distinción es relevante porque identificar la vulnerabilidad resultará clave para determinar si el problema quedó efectivamente solucionado y si todavía existen riesgos para otros componentes que utilizan tecnologías relacionadas.
Liquid Network, una red de capa dos vinculada al ecosistema de Bitcoin y operada mediante una federación, atraviesa una crisis de seguridad luego de que un exploit permitiera retirar casi 4.000 BTC de su billetera de reservas.
El incidente comenzó el 6 de septiembre y derivó en una situación inusual donde los presuntos responsables utilizaron la propia blockchain de Bitcoin para contactar públicamente a Blockstream, empresa vinculada al desarrollo de Liquid, y presentar su operación como una intervención de seguridad.
Sin embargo, el hecho de que todavía conserven una parte de los fondos mantiene abierta la discusión sobre si se trató efectivamente de un ataque de "white hats" o de un robo acompañado de una negociación posterior.
