320 millones de dólares salen de Liquid Network mientras se cuestiona la etiqueta de "white hat"

Qué ocurrió

4.000 BTC salieron del monedero de la Federación de Liquid Network el 6 de septiembre de 2026. Eso equivale a aproximadamente 320 millones de dólares al momento del evento. Según ForkLog, el equipo de Liquid Network anunció el incidente públicamente e indicó que el equipo de Blockstream trabajaba para contactar a los responsables mediante un mensaje firmado en cadena.

The Block informó que la cadena lateral de Bitcoin fue pausada de inmediato, con los exchanges suspendiendo depósitos y retiros de LBTC mientras Blockstream evaluaba la situación. Un mensaje OP_RETURN dejado en cadena por quienes tomaron los fondos decía "somos white hats. Entre em contato conosco on-chain", según Cointelegraph BR.

El propio equipo de Liquid Network describió a los actores como "supuestos hackers white hat", un encuadre que generó críticas inmediatas. El Director de Tecnología de Ledger cuestionó la etiqueta white hat aplicada al retiro de 320 millones de dólares, aunque evitó calificarlo directamente como robo, según señalaron BeInCrypto ID y BeInCrypto VI.

Cómo funcionó el ataque

El vector de ataque reportado es una acuñación entre cadenas sin respaldo, una clase de exploit en el que un atacante genera tokens envueltos o puenteados sin bloquear el colateral correspondiente en la cadena de origen. En el caso de Liquid, LBTC es una representación envuelta de Bitcoin que circula por la cadena lateral. Si un atacante logra activar un evento de acuñación sin depositar el BTC subyacente, termina con tokens sin respaldo mientras el protocolo registra un pasivo que no puede cubrir.

Liquid opera mediante un modelo de Federación: un grupo de signatarios controla colectivamente el peg. Ese diseño desplaza el modelo de seguridad fuera de la lógica de contratos inteligentes en cadena y hacia la integridad de los signatarios y la infraestructura de firma. Un compromiso de esa capa de firma, ya sea por robo de claves, repetición de firmas o un fallo en cómo la Federación procesa las instrucciones de acuñación, puede vaciar el monedero del peg sin activar alarmas en cadena hasta que los fondos ya hayan salido.

Aún no contamos con un análisis técnico confirmado sobre qué componente exactamente falló. Lo que las fuentes confirman es que aproximadamente 4.000 BTC salieron del monedero de la Federación, el puente fue pausado y Blockstream está identificando a los responsables. Actualizaremos este análisis cuando Blockstream publique un informe post-mortem.

Qué fondos de usuarios están en riesgo

Los 4.000 BTC representan el retiro confirmado reportado por ForkLog y Cointelegraph BR. Cualquier persona que tuviera LBTC en exchanges o en monederos al momento del incidente enfrenta incertidumbre hasta que Blockstream confirme si el peg está totalmente colateralizado o respaldado parcialmente.

Los exchanges actuaron con rapidez. Como confirmó The Block, los depósitos y retiros de LBTC fueron suspendidos en todas las plataformas como medida de precaución. Esa suspensión protege contra salidas adicionales, pero también significa que los titulares de LBTC no pueden canjear sus posiciones en este momento.

La posibilidad de recuperar los fondos depende enteramente de la intención de quienes los tomaron. Si la afirmación de white hat es genuina, el retorno de los 4.000 BTC es posible. De lo contrario, las probabilidades de recuperación caen drásticamente: las transacciones de Bitcoin son irreversibles y el modelo de Federación no cuenta con un mecanismo de gobernanza en cadena para forzar una reversión. El escepticismo público del CTO de Ledger, reportado por BeInCrypto TR, refleja lo débil que es la evidencia de buena fe en esta etapa.

Reconocimiento de patrones

Este evento encaja en una familia de exploits bien documentada: compromiso de federación o puente multisig que conduce a acuñación no autorizada o vaciado directo. Tres casos anteriores comparten la misma huella estructural.

Ronin Network: las fuentes que cubren este incidente de Liquid establecen explícitamente la comparación. El puente Ronin, que aseguraba activos para Axie Infinity, dependía de un pequeño conjunto de validadores. Los atacantes comprometieron suficientes claves de validadores para autorizar retiros fraudulentos. La lección fue la misma: cuando la seguridad descansa en una federación de poseedores de claves y no en código sin confianza, la superficie de ataque son las personas y su infraestructura de gestión de claves.

Wormhole: el exploit del puente Wormhole implicó un fallo en cómo el protocolo verificaba las firmas de los guardianes antes de acuñar tokens envueltos. El atacante acuñó ETH envuelto sin depositar el colateral subyacente, estructuralmente idéntico a una acuñación entre cadenas sin respaldo. El mecanismo fue diferente, pero el resultado es equivalente: un puente que creyó tener colateral que no tenía.

BSC Bridge: el puente de BNB Chain sufrió un exploit que permitió al atacante producir mensajes de prueba fraudulentos que el puente aceptó como válidos, generando nuevamente tokens sin respaldo legítimo. Ese incidente también provocó una pausa de la cadena, la misma respuesta que tomó Blockstream aquí.

El hilo común en los tres casos: en el momento en que un puente confía en un mensaje en lugar de verificar el colateral en ambos extremos de forma atómica, crea una brecha que un atacante puede explotar.

Qué hacer ahora

• No deposites ni retires LBTC. Los exchanges ya suspendieron estas operaciones. Cualquier intento de mover LBTC fuera de los flujos oficiales de los exchanges conlleva el riesgo de operar con un activo subcolateralizado.
• Revisa la página de estado de tu exchange. Si tienes LBTC en algún exchange, confirma si ese exchange pausó las operaciones relacionadas con LBTC y monitorea sus comunicaciones oficiales para conocer actualizaciones sobre la posibilidad de canje.
• No aceptes LBTC como pago. Hasta que Blockstream confirme que el peg está completamente intacto y el puente se reanude, el respaldo de LBTC no está verificado. Recibirlo como pago te expone al total del riesgo si la afirmación white hat resulta falsa.
• Monitorea los canales oficiales de Blockstream y los mensajes en cadena. Blockstream indicó que está contactando a los responsables mediante mensaje firmado en cadena. Cualquier respuesta confirmada de los actores será visible en cadena antes de aparecer en la prensa.
• Si tienes BTC en Liquid (no envuelto en otro lugar), contacta directamente a tu custodio. Tu exposición depende de si tu BTC estaba dentro del monedero de la Federación o se mantenía por separado. No lo asumas, solicita confirmación escrita sobre el estado de tu saldo específico.

Preguntas frecuentes

¿Liquid Network funciona con normalidad ahora mismo?

No. Según el reporte de The Block, la cadena lateral fue pausada y los exchanges suspendieron los depósitos y retiros de LBTC mientras Blockstream investiga.

¿Las personas que tomaron los fondos son realmente hackers white hat?

Dejaron un mensaje en cadena afirmando su condición de white hat, pero el CTO de Ledger cuestionó públicamente esa etiqueta sin calificarlo directamente como robo, según BeInCrypto ID. No existe verificación independiente de la afirmación al momento de redactar este análisis.

¿Se pueden recuperar los 4.000 BTC?

Blockstream intenta contactar a los responsables mediante mensaje firmado en cadena, según reportó ForkLog. El retorno es posible si los actores cooperan, pero la red de Bitcoin no puede revertir las transacciones por sí misma, por lo que la recuperación depende enteramente de su voluntad de devolver los fondos.