Unos 4.000 BTC fueron retirados de la billetera de la Liquid Federation, cerca del 95% de las reservas. Los atacantes, que se identificaron como hackers de sombrero blanco, condicionaron la devolución a que Blockstream corrigiera la falla de seguridad.
La red Liquid Network, una solución de segunda capa y sidechain de Bitcoin desarrollada sobre Elements, sufrió un grave incidente de seguridad que permitió retirar aproximadamente 4.000 BTC, valorados en unos USD 320 millones, de la billetera de la Liquid Federation.
El incidente provocó la suspensión temporal de operaciones de la red y puso nuevamente bajo la lupa la seguridad de la infraestructura que sostiene algunos de los principales servicios del ecosistema Bitcoin.
Pero el caso tomó un giro inesperado: los responsables afirmaron ser “hackers de sombrero blanco” y, después de que Blockstream corrigiera la vulnerabilidad, devolvieron aproximadamente 3.400 BTC a la dirección de la federación. Al momento de la última actualización, alrededor de 598,5 BTC, equivalentes a unos USD 47 millones, permanecían en la dirección asociada al atacante.
¿Qué pasó con los 4.000 BTC de Liquid Network?
El incidente comenzó el domingo 6 de septiembre, cuando alrededor de 4.000 de los 4.200 BTC que respaldaban las operaciones de Liquid fueron retirados de la billetera de la federación. La cantidad representaba aproximadamente el 95% de las reservas de Bitcoin de la red.
Liquid informó inicialmente que estaba al tanto de un incidente de seguridad y que los fondos habían sido retirados por actores que describió como “supuestos hackers de sombrero blanco”.
Como medida de emergencia, la red suspendió nuevas transacciones y los operadores comenzaron a desactivar los bridge nodes, mientras diferentes exchanges suspendían o preparaban la suspensión de depósitos y retiros de L-BTC.
El detalle más llamativo es que, según Liquid, la clave criptográfica utilizada para autorizar el proceso no fue comprometida.
We are aware of a security incident on @Liquid_BTC. Purported white-hat hackers have withdrawn ~4,000 BTC (~$320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message.
— Liquid Network 🌊 (@Liquid_BTC) September 6, 2026
What we know so far is that the funds…
El problema no habría sido una clave privada robada
La investigación posterior apunta a un escenario mucho más complejo que el robo tradicional de una clave privada.
Liquid utiliza LBTC o Liquid Bitcoin, un activo diseñado para representar Bitcoin dentro de la sidechain. De acuerdo con la documentación de Blockstream, el LBTC debe estar respaldado 1:1 por BTC bloqueado en la red principal de Bitcoin.
El movimiento contrario se conoce como peg-out: los LBTC son destruidos en Liquid y se libera una cantidad equivalente de BTC desde la billetera de la federación. Solo los miembros de la Liquid Federation pueden iniciar este proceso.
En este caso, la falla habría permitido crear aproximadamente 4.000 L-BTC sin el respaldo correspondiente y posteriormente utilizarlos para solicitar un peg-out.
Según SideSwap, el servicio procesó una operación en la que fueron enviados 4.000 L-BTC a su sistema de peg-out. Después de quemar esos tokens mediante una autorización válida, la federación terminó enviando aproximadamente 3.996 BTC a una dirección de Bitcoin.
La investigación de Bitquery coincide en que el incidente involucró la creación de unos 4.000 L-BTC que posteriormente fueron enviados al proceso de salida hacia Bitcoin.
¿Quiénes son los hackers de sombrero blanco?
El término white hat hacker se utiliza para describir a investigadores de seguridad que identifican y explotan vulnerabilidades con fines defensivos, normalmente para alertar al responsable y permitir que la falla sea corregida.
En este caso, los responsables utilizaron transacciones de Bitcoin para comunicarse con Blockstream.
Uno de los mensajes incluidos en la cadena contenía la frase “we are whitehats. contact us on chain”, dejando claro que los atacantes buscaban presentarse como investigadores de seguridad y no como ladrones interesados en quedarse definitivamente con los fondos.
Posteriormente, el atacante indicó que los BTC serían devueltos una vez que la vulnerabilidad estuviera corregida.
Blockstream respondió mediante mensajes on-chain y, después de informar que sus nodos habían sido parcheados, recibió la devolución de aproximadamente 3.400 BTC.
Eso deja abierta una pregunta clave: ¿fue un hackeo o una operación de seguridad ejecutada por investigadores?
Por ahora, la caracterización más prudente es hablar de un exploit de seguridad ejecutado por actores que se identificaron como white hats. La identidad de los responsables y las circunstancias exactas de la vulnerabilidad todavía están bajo investigación.
¿Qué es Liquid Network y por qué tenía tantos bitcoins?
Liquid Network es una sidechain de Bitcoin orientada a facilitar liquidaciones más rápidas y privadas, además de permitir la emisión y transferencia de diferentes activos digitales. Blockstream la describe actualmente como una solución de segunda capa de Bitcoin.
La red es operada por una Liquid Federation, integrada por diferentes participantes del ecosistema, entre ellos exchanges, proveedores de infraestructura y otras compañías vinculadas a Bitcoin. Los bloques son firmados por un conjunto de 15 functionaries, en lugar de utilizar la minería mediante proof-of-work de Bitcoin.
Su funcionamiento depende de que los BTC bloqueados en la red principal respalden los LBTC que circulan dentro de Liquid.
Por eso, un exploit capaz de generar LBTC sin respaldo puede tener un efecto mucho mayor que el de un robo convencional dentro de una aplicación: permite convertir un activo creado fraudulentamente en Bitcoin real custodiado fuera de la sidechain.
El ataque expone un problema mayor para la infraestructura cripto
El incidente llega en un momento especialmente delicado para la seguridad del sector.
Durante las últimas semanas se han registrado otros ataques contra plataformas y servicios relacionados con criptomonedas, aumentando las preguntas sobre la seguridad de las infraestructuras que conectan diferentes redes, exchanges y sistemas de custodia.
En el caso de Liquid, además, el episodio muestra que no siempre es necesario robar una clave privada para comprometer fondos.
Una vulnerabilidad en la lógica de validación puede ser suficiente para permitir que un atacante atraviese los controles diseñados para proteger un sistema financiero basado en blockchain.
La diferencia es importante: mientras un robo de claves apunta directamente a la custodia, un exploit de este tipo puede atacar las reglas que determinan cuándo un activo puede ser creado, destruido o convertido en otro activo.
¿Se recuperaron los USD 320 millones?
Parcialmente.
De los aproximadamente 4.000 BTC retirados inicialmente, unos 3.400 BTC fueron devueltos después de que Blockstream informara que había corregido la vulnerabilidad.
Eso significa que todavía quedaban aproximadamente 598,5 BTC en la dirección asociada al atacante según la última actualización disponible, aunque la situación puede cambiar rápidamente mientras continúan las comunicaciones entre las partes.
Por ahora, el incidente deja dos historias paralelas: un ataque que puso en riesgo cerca del 95% de las reservas de Bitcoin de Liquid y una negociación on-chain que terminó con la recuperación de buena parte de los fondos.
Y también deja una lección para la industria: la seguridad de Bitcoin no termina en Bitcoin. Las capas, puentes, sidechains y sistemas construidos alrededor de BTC introducen sus propios modelos de confianza y, con ellos, nuevos puntos potenciales de ataque.