Liquid recupera 3.400 BTC, pero su brecha de paridad expone el riesgo de la contabilidad puente

Liquid Network logró recuperar una parte significativa de los Bitcoin (BTC) sustraídos de su billetera de federación durante el fin de semana. Sin embargo, esto no resuelve el problema más grave. El inconveniente radica en que la desconexión de la moneda puede producirse a través de la ruta de autorización habitual, incluso si los L-BTC involucrados en la transacción no deberían haberse creado.

El lunes 7 de septiembre, el grupo responsable del retiro reembolsó 3400 BTC a la federación, devolviendo aproximadamente el 85 % del dinero perdido. La transacción les dejó con 598,5 BTC. Para mayor coherencia, todas las conversiones a dólares en este artículo utilizan de CoinMarketCap Bitcoin a USD de 79 001,61 USD (indicado el 7 de septiembre).

Un bloqueo válido que la federación afirma que nunca autorizó

A primera vista, la transacción parece rutinaria. SideSwap afirmó que el domingo a las 14:05 UTC, un cliente transfirió 4000 L-BTC a su servicio de intercambio de pares. Tras presentar una autorización válida de SideSwap, se liberaron aproximadamente 3996 BTC de la billetera de la federación a las 14:28:56 UTC.

Sin embargo, la clave de autorización no fue robada. Liquid informó que la clave de autorización de SideSwap no se utilizó de forma indebida. SideSwap también informó que Blockstream determinó posteriormente que la causa del incidente fue un fallo en el software Elements, que permitió la generación de L-BTC no válidos. Por lo tanto, el mecanismo de bloqueo permitió el paso de tokens incorrectos que parecían legítimos, aunque carecían del respaldo que se suponía que debía tener L-BTC.

Esto diferencia el asunto de los casos habituales de vulneración de claves y lo sitúa en el ámbito de los problemas contables. Según el libro blanco de Liquid, L-BTC se deficomo Bitcoin que ingresa a la cadena lateral mediante un mecanismo de paridad bidireccional, donde parte del BTC en manos de una federación se utiliza para canjear la moneda. Si L-BTC ingresa de forma inválida a través de su ruta de canje, la importancia de la integridad de las reservas es equivalente a la de las propias claves de autorización.

La negociación se desarrolló en mensajes de transacciones Bitcoin

La comunicación entre Blockstream y los atacantes se produjo mediante mensajes integrados en las Bitcoin . La cronología de Samson Mow indicaba que los atacantes instaban a Blockstream a solucionar la vulnerabilidad antes de devolver el dinero.

Posteriormente, Blockstream envió una nota firmada que decía: "Los nodos puente están parcheados, es seguro devolver los fondos". Los participantes confirmaron con Blockstream el destino final y devolvieron el dinero, que ascendía a 3400 BTC, a Liquid Federation a las 16:09:25 UTC del 7 de septiembre.

¿Por qué la falta de 598,5 BTC mantiene abierta la cuestión de la reserva?

Recuperar el 85% de los fondos es sin duda un gran logro, pero no soluciona los problemas de un sistema que depende de un respaldo uno a uno. Aproximadamente 598,5 BTC permanecen fuera de la federación, lo que representa unos 47,3 millones de dólares al precio de mercado calculado en este caso.

Según un informe anterior de Cryptopolitan, un aspecto peculiar del incidente fue que se utilizó el mecanismo de autorización de desacoplamiento de SideSwap, aunque no se produjo ninguna brecha a nivel de clave. La Bitcoin también funcionaba correctamente. El problema radicaba en la parte superior del sistema, donde los L-BTC falsificados pasaban por un mecanismo de canje destinado a liberar BTC reales.

Lo que los usuarios de Bitcoin puenteado deberían aprender de este incidente es lo siguiente: esto fue más que un simple robo de clave privada. Demostró cómo un problema de software puede llevar a que se realice una solicitud de reembolso aparentemente legítima sin reservas reales que la respalden. Incluso si se devuelven los bitcoin restantes, el problema subyacente persiste: el proceso de paridad de Liquid logra convertir BTC reales en L-BTC que nunca deberían haber sido considerados garantía válida.

Si estás leyendo esto, ya llevas ventaja. Mantente al día con nuestro boletín informativo.