Liquid restaura 1:1 BTC de respaldo mientras Adam Back advierte sobre las soluciones con IA
- La Federación Liquid restableció el respaldo 1:1 en Bitcoin para LBTC después de que Blockstream proporcionara los 550 BTC faltantes, eliminando el déficit de reservas.
- El exploit de septiembre permitió a los atacantes acuñar aproximadamente 4.000 LBTC sin respaldo y retirar unos 598 BTC tras devolver la mayor parte de los fondos robados.
- Tras el exploit, Blockstream endureció la autorización de salidas (peg-out), desactivó las cachés vulnerables de validación de pruebas y fortaleció las reglas de consenso.
Tras un exploit en septiembre que drenó alrededor de 320 millones de dólares en BTC y dejó un vacío en sus reservas, la Federación Liquid ha anunciado ahora que ha restablecido el respaldo completo 1:1 en Bitcoin para LBTC.
El monedas faltantes que según se informa fueron suministradas por Blockstream. LBTC es el token que representa a Bitcoin en la sidechain de Blockstream.
Blockstream cubrió el vacío de reservas
La Federación Liquid compartió el actualización en X el martes 3 de noviembre, escribiendo que «se complace en anunciar que las reservas de bitcoin de la red han sido totalmente restablecidas, restableciendo el respaldo 1:1 en BTC para todo LBTC.»
El CEO de Blockstream, Adam Back, compartió una captura de pantalla de un panel de control que muestra los activos de Liquid Network igualando los pasivos al 100%. La captura de pantalla también mostraba que el déficit de reserva ahora es de 0,00 BTC.
Cuando se le preguntó a Samson Mow, miembro del consejo de la Federación Liquid y ex ejecutivo de Blockstream, sobre el origen de los fondos, respondió: «Como se ha indicado en muchas ocasiones, Blockstream».
Mow rastreó los depósitos públicamente, mostrando que 50 BTC llegaron a la billetera de la federación el 28 de octubre, dejando un saldo pendiente de 550 BTC. El lunes se añadieron 300 BTC a la billetera, seguidos por otros 250 BTC más tarde ese mismo día, lo que restauró el tipo de cambio fijo.
Los intercambios directos entre Bitcoin y LBTC ya se habían reanudado semanas antes a través de proveedores participantes.
Sin embargo, la Federación no ha dicho si todas las restricciones restantes para retirar fondos han sido levantadas. Además, más allá de los depósitos de Blockstream, la federación no ha dicho nada sobre cómo se cubrió completamente el déficit.
Cómo los atacantes imprimieron LBTC sin respaldo
Hackers blancos autodescritos explotó una cuota de entrada en Elements, que es el software de código abierto que ejecuta Liquid, el 6 de septiembre.
Esa falla estaba en una caché que almacenaba los resultados de verificaciones costosas de prueba de rango. Dado que la clave de caché omitía el compromiso del activo y el scriptPubKey, un nodo podría reutilizar una prueba verificada previamente en un contexto donde no era válida.
Esto fue lo que permitió al atacante acuñar alrededor de 4.000 LBTC sin respaldo y enviarlos a través del servicio de retiro (peg-out) de SideSwap para retirar bitcoin real.
Las claves privadas no fueron robadas en la explotación gracias al multisig 11-de-15 de la federación y las claves de autorización de SideSwap, las cuales funcionaron según lo diseñado para prevenir tal incidente.
Al día siguiente, el el atacante devolvió 3,400 BTC pero conservó aproximadamente 598 BTC, que entonces valían alrededor de 47 millones de dólares.
El atacante luego exigió un bono por hallazgo de vulnerabilidades del 10% a cambio de los BTC restantes. Sin embargo, Blockstream rechazó la oferta, ya que indicó que no "pagaría un rescate que excede ampliamente su participación económica".
Unos días después, el 9 de septiembre, Blockstream lanzó una versión endurecida de Elements, v23.3.4.
¿Pueden las correcciones prevenir futuros ataques?
Cuando se le preguntó, tras su publicación inicial en X, qué evitaría que volviera a ocurrir este tipo de ataque, Back señaló que tres líneas de defensa han sido endurecidas.
Él escribió que las claves de autorización peg-out (PAK) se han actualizado y trasladado a monederos de hardware en frío. La segunda corrección consiste en que se han desactivado las cachés de validación de pruebas y se ha corregido el error para los nodos.
Para la tercera corrección, Back escribió que las reglas de consenso se han endurecido, «y fallan de forma cerrada».
Back añadió que los sistemas pasaron por múltiples auditorías de terceros.
La advertencia sobre las correcciones sugeridas por IA
También dijo que una de las lecciones aprendidas del incidente es tratar cada sugerencia de IA con suspicacia, afirmando: «no confíes, verifica».
La advertencia de Back no proviene de un incidente aislado, ya que un análisis independiente sugirió que el atacante de septiembre ingenierizó inversamente la vulnerabilidad a partir de un commit público en GitHub antes de que se hubiera actualizado cualquier nodo de producción.
Según el Grupo de Inteligencia de Amenazas de Google (GTIG), los atacantes explotaron 141 vulnerabilidades entre enero y agosto de 2026; esto fue 14 incidentes más que los 127 registrados durante todo el año 2025.
Se reveló que las herramientas de IA están reduciendo la brecha entre la divulgación de un error y la creación de un exploit funcional.
La Federación Liquid ha indicado que también está preparando cambios en la gobernanza y la supervisión, con más detalles prometidos para las próximas semanas.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Cómo se cubrió el déficit de reservas de la Red Liquid?
Según Samson Mow, miembro del consejo directivo de la Federación Liquid, Blockstream aportó los bitcoins, con depósitos de 50 BTC el 28 de octubre y 300 BTC más otros 250 BTC el lunes, lo que restauró el tipo de cambio fijo de 1:1.
¿Qué provocó la vulnerabilidad de septiembre 2026 en Liquid?
Un error en una caché de verificación de rangeproof en Elements, el software subyacente de Liquid, permitió a un atacante crear aproximadamente 4.000 LBTC sin respaldo y retirar bitcoins reales a través del servicio de peg-out de SideSwap; no se comprometieron claves privadas.
¿Qué dijo Adam Back sobre las correcciones sugeridas por IA?
Back instó a los desarrolladores a tratar las correcciones sugeridas por IA "con suspicacia", citando el principio de "no confíes, verifica", e identificó como nuevas defensas de Liquid las claves de peg-out endurecidas almacenadas en frío, las cachés de prueba desactivadas y las reglas de consenso fail-closed.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
