Blockstream rechazó pagar un rescate para recuperar los 598,5 BTC que todavía permanecen bajo control de los atacantes detrás del exploit que afectó a Liquid Network, la sidechain de Bitcoin desarrollada por la compañía.
La postura de Blockstream abrió una nueva disputa alrededor del incidente, ya que mientras el grupo que explotó la vulnerabilidad devolvió la mayor parte de los fondos sustraídos, la empresa se niega a considerar esa devolución parcial de fondos como parte de una operación de hackeo ético o "white-hat".
El episodio dejó al descubierto una vulnerabilidad que permitió alterar el mecanismo de respaldo de los L-BTC y extraer casi la totalidad de las reservas de Bitcoin de la Liquid Federation.
El ataque ocurrió el 6 de septiembre, cuando los responsables del exploit aprovecharon una vulnerabilidad que les permitió acuñar aproximadamente 4.000 L-BTC sin depositar el BTC necesario para respaldarlos.
Liquid utiliza L-BTC como representación de Bitcoin dentro de la sidechain, por lo que el funcionamiento del sistema se basa en una equivalencia, donde los BTC depositados en la federación deben respaldar los L-BTC emitidos.
Los atacantes lograron esquivar ese mecanismo para luego usar la infraestructura de peg-out de SideSwap para convertir los L-BTC obtenidos en aproximadamente 4.000 BTC reales, retirados de las reservas de la Liquid Federation.
La magnitud del ataque fue muy fuerte, debido a que la federación contaba con unos 4.200 BTC antes del ataque, por lo que el exploit llegó a comprometer cerca del 95% de sus reservas.
El incidente, además, no se limitó al compromiso de una cuenta o de un usuario individual, sino que afectó directamente al fondo que sostiene la convertibilidad de los activos emitidos dentro de Liquid.
Un día después del exploit, el 7 de septiembre, los atacantes devolvieron aproximadamente 3.400 BTC a la Liquid Federation, cerca del 85% de los fondos extraídos.
La devolución redujo considerablemente el impacto inmediato del ataque, pero no eliminó el déficit, ya que todavía quedan unos 598,5 BTC en una dirección controlada por los atacantes.
De esta forma, todavía queda una diferencia significativa respecto de las reservas que existían antes del incidente, mientras que la situación del respaldo efectivo de los L-BTC depende del volumen de tokens que continúen en circulación.
Las actualizaciones difundidas durante la crisis indicaron que la producción de bloques de Liquid pudo reanudarse después de las medidas adoptadas para contener el problema.
Sin embargo, la recuperación de la actividad operativa no equivale a una recuperación completa de las reservas, y las operaciones relacionadas con transferencias de L-BTC y peg-outs permanecían restringidas mientras se evaluaban las consecuencias del exploit.
En medio de la recuperación de los fondos, Blockstream dejó clara su posición sobre los 598,5 BTC restantes, ya que la empresa afirmó que no pagará una recompensa o rescate para recuperarlos.
La empresa sostuvo que el atacante no debe ser tratado como un investigador de seguridad que encontró una vulnerabilidad y posteriormente recibió una compensación por reportarla.
El argumento de Blockstream apuntó también a las consecuencias que tendría establecer un precedente de este tipo para otros proyectos de código abierto.
"No seremos parte del precedente de que el software de código abierto desarrollado para el bien de la comunidad de Bitcoin deba someter a sus desarrolladores a pagar un rescate que excede con creces su participación económica", manifestaron desde la compañía.
Para la compañía, aceptar esa lógica significaría trasladar a los desarrolladores una responsabilidad económica desproporcionada por una vulnerabilidad explotada por terceros.
Además, Blockstream también vinculó su postura con una de las características fundamentales de Bitcoin, acerca de la escasez verificable de su emisión, y sostuvo que: "Bitcoin es dinero duro y no puede acuñarse sin costos".
Como parte de su respuesta técnica, Blockstream publicó Elements v23.3.4, una actualización destinada a corregir la vulnerabilidad que hizo posible el ataque.
La corrección permitió avanzar en la recuperación controlada de Liquid y contribuyó a que la producción de bloques volviera a funcionar.
La diferencia entre los fondos recuperados y las reservas originales continúa planteando una cuestión económica para el ecosistema de Liquid, sobre cómo restablecer completamente la cobertura de los activos emitidos si las monedas restantes no regresan.
De esta forma, este caso planteó una cuestión cada vez más relevante para los proyectos de infraestructura cripto, en relación a cuándo una devolución parcial de fondos convierte a un atacante en un "white-hat" y cuándo sigue tratándose de un robo.
La respuesta no es sencilla, ya que el grupo responsable devolvió alrededor del 85% de los BTC sustraídos, pero conservó casi 600 BTC, una cantidad que por sí sola representa millones de dólares.
Para Blockstream, la devolución parcial no modifica la naturaleza del exploit ni justifica el pago de una recompensa, ya que la empresa consideró que negociar con el atacante podría generar incentivos para repetir este tipo de operaciones contra otros proyectos.