|  Xataka.com |  Tecnología

Vivimos rodeados de sistemas que deciden constantemente qué es válido y qué no. Lo hacen cuando iniciamos sesión en una cuenta, cuando un banco autoriza una transferencia o cuando una red comprueba que una operación cumple sus reglas y puede ejecutarse. Normalmente ni siquiera pensamos en ello, porque damos por hecho que esos controles están ahí y funcionan. El problema aparece cuando el propio sistema acepta como legítimo algo que nunca debería haber pasado sus filtros. Y, cuando eso ocurre en una infraestructura financiera, el error deja de ser una simple anomalía técnica.

Casi toda la reserva salió. La historia que nos ocupa empieza en Liquid, una red vinculada a Bitcoin y desarrollada por Blockstream. El 6 de septiembre, sus responsables informaron de que alrededor de 4.000 BTC habían salido de la cartera federada, que antes almacenaba unos 4.200. Hablamos de cerca del 95% de esos fondos, valorados entonces en unos 320 millones de dólares. La organización reaccionó desactivando sus nodos puente y pidió a los exchanges que suspendieran temporalmente los depósitos y retiradas de L-BTC mientras investigaba qué había ocurrido.

Liquid no es Bitcoin. Aunque ambas están conectadas, hablamos de redes distintas. Liquid es una sidechain, una red separada pensada para mover activos vinculados a Bitcoin con mayor rapidez y ofrecer otras funciones adicionales. Para utilizarla, los BTC se bloquean en la red principal y, a cambio, se emite en Liquid una cantidad equivalente de L-BTC. La relación está diseñada para ser de uno a uno: cada L-BTC debe corresponderse con un BTC real inmovilizado fuera de esa cadena. Así se entiende por qué la federación necesita custodiar una reserva de Bitcoin.

Así debería funcionar la salida. El camino de regreso desde Liquid a Bitcoin pasa por un peg-out, una operación que solo pueden iniciar miembros de la Federación. Un usuario puede recurrir para ello a un servicio autorizado como SideSwap: entrega sus L-BTC, estos se eliminan de circulación y la federación libera los BTC correspondientes. En este caso, un cliente envió 4.000 L-BTC a SideSwap y el servicio procesó la operación como válida. La federación terminó liberando unos 3.996 BTC.

El problema estaba antes. La reconstrucción comunicada por SideSwap sitúa el fallo no en esa retirada, sino en los propios L-BTC que llegaron hasta ella. Según la plataforma, Blockstream le comunicó que aquellas 4.000 unidades habían sido creadas a partir de un fallo de Elements, el software que sustenta Liquid. Si esa explicación preliminar se confirma, el mecanismo de salida no habría detectado nada extraño porque recibió activos que el sistema ya consideraba válidos. Liquid afirma que la PAK de SideSwap utilizada en el proceso no fue comprometida, mientras que SideSwap sostiene que tampoco lo fueron sus sistemas.

Bitcoin no fue vulnerado. Hasta ahora hemos hablado de miles de BTC, pero la brecha no ocurrió en la cadena principal. Liquid es una infraestructura separada, basada en Elements y administrada mediante una federación, por lo que parte de su seguridad depende de componentes que Bitcoin no utiliza. La red Bitcoin siguió funcionando con normalidad durante todo el episodio. Ese matiz importa porque nos permite situar correctamente el problema: no estamos ante una vulnerabilidad de Bitcoin, sino ante un fallo en una capa construida para utilizar ese activo bajo reglas y mecanismos diferentes.

En Xataka

Creíamos que el problema de las Smart TV era que sabían qué estábamos viendo. En LG eso es solo el principio

Entonces apareció un mensaje. Quienes habían ejecutado la operación se presentaron después como "whitehats", hackers de sombrero blanco, en un mensaje incluido en una transacción de Bitcoin y pidieron a Blockstream que contactara con ellos. La compañía respondió también por esa vía con los datos de su equipo de seguridad y, según Liquid, la conversación pasó después a canales cifrados. Su identidad sigue sin estar verificada, así que no podemos asumir que fueran hackers éticos solo porque ellos mismos lo afirmen. Lo que sí dijeron es que devolverían la mayor parte de los fondos una vez corregido el fallo.

Blockstream dice que pueden devolverlos. Quienes controlan los fondos habían pedido que el problema se corrigiera y que los nodos estuvieran actualizados antes de mover el dinero. Blockstream respondió posteriormente mediante un mensaje firmado que sus nodos puente ya estaban parcheados y que era seguro devolver los BTC. A partir de aquí queda la parte que todavía no podemos dar por resuelta: en la última actualización publicada, los cerca de 4.000 BTC continuaban bajo control de quienes ejecutaron la operación, por lo que la prometida devolución de la mayor parte de los fondos seguía sin materializarse.

Imágenes | Xataka con Nano Banana 

En Xataka | Google Maps no muestra el mismo mundo a todos. El lago Ontario es la última prueba

-
La noticia Una brecha ha sacado 320 millones en Bitcoin de una red. Los autores dicen que lo devolverán cuando arreglen el fallo fue publicada originalmente en Xataka por Javier Marquez .