El hackeo de la Red Liquid no fue un robo de claves. Exponía cómo funcionan realmente las sidechains federadas de Bitcoin, como los bancos. Lo que significa el drenaje de 320 millones de dólares para la segunda capa de BTC.
La seguridad de las sidechains de Bitcoin es un mito: Liquid lo ha demostrado
El 6 de septiembre de 2026, alguien se llevó aproximadamente 4.000 bitcoin —unos 320 millones de dólares en ese momento— de la Red Liquid (https://liquid.net/), la sidechain insigniente creada por Blockstream (https://blockstream.com/), la empresa fundada por Adam Back, el criptógrafo cuyo Hashcash se cita en el whitepaper de Bitcoin. No se robaron claves privadas. No se violó ninguna multisig. El ladrón encontró un error sutil en un fragmento de software, acuñó bitcoin que no existía y vació el 95% de las reservas de la red en 23 minutos.
Eso no es una brecha de seguridad como la mayoría de la gente la imagina. Es algo más vergonzoso: una corrida bancaria en un sistema que nunca debería haber necesitado uno.
Puntos clave
- El hackeo de Liquid fue un error, no una intrusión: un colapso de caché de prueba de rango en Elements (https://github.com/ElementsProject/elements) permitió a un atacante crear L-BTC sin respaldo y canjearlo por aproximadamente 4.000 bitcoin reales.
Liquid es una sidechain federada: un multisig 11-de-15 gestionado por aproximadamente quince empresas. Ese es un modelo de confianza, no "no son tus claves, no son tus monedas".
El autodenominado "sombrero blanco" devolvió el 85 % y se quedó con aproximadamente 598,5 BTC (~47 millones de dólares) como un premio que se asignó a sí mismo, difuminando la línea entre la divulgación y la extorsión.
- Blockstream se negó a pagar y simultáneamente está luchando contra un SPAC colapsado de $4 mil millones y demandas de minería, mientras que los titulares de L-BTC aún no pueden canjear de vuelta a la cadena principal.
¿Qué ocurrió realmente con Liquid?
La explotación fue elegante en su simplicidad. Liquid se ejecuta sobre Elements, la base de código de código abierto que mantiene Blockstream. Una vulnerabilidad en la forma en que Elements almacenaba en caché las "pruebas de rango" — las matemáticas que demuestran que el monto de una transacción confidencial es legítimo — permitió al atacante acuñar L-BTC sin que hubiera bitcoin detrás. Esos tokens falsos fueron luego enrutados a través de SideSwap (https://sideswap.io/), una plataforma de intercambio que posee una clave de autorización para retiros fuera de la cadena, convirtiéndolos en retiros reales de bitcoin desde la billetera de reserva de la federación.
La reserva cayó de aproximadamente 4.200 BTC a 197 BTC en menos de media hora.
Aquí está la parte que más importa: las claves de firma de la federación nunca fueron tocadas. El multisig 11-de-15 —quince empresas, incluidas bolsas y creadores de mercado, que deben aprobar conjuntamente los movimientos— funcionó exactamente como estaba diseñado. El fallo se encontraba aguas arriba, en el código que le indicaba al multisig qué firmar. Una bóveda bien construida, con instrucciones erróneas, sigue abriéndose.
El atacante luego hizo lo típico en cripto: un mensaje OP_RETURN que decía "somos whitehats. contáctennos en la cadena", una demanda de que Blockstream parcheara cada nodo antes de que se devolviera algo, y finalmente una devolución de aproximadamente 3.400 BTC una vez que se lanzó el parche. Se quedaron con 598,5 BTC —alrededor de 47 millones de dólares— como una tarifa que se asignaron a sí mismos. Cuando Blockstream se negó, el tono se volvió hostil: "DEBEN pagar el 10% usando su propio dinero como recompensa por errores, o causarán a todos sus tenedores una pérdida del 15%."
¿Por qué esto es un fallo de confianza, no un fallo de seguridad?
Toda la propuesta de valor de Bitcoin es que no necesitas confiar en nadie. Tus claves, tus monedas. Luego Bitcoin se topó con un muro: es lento, caro y malo para la privacidad, por lo que surgió toda una industria de "capas segunda" para solucionarlo, y casi todas importaron silenciosamente la confianza.
Liquid es el ejemplo más puro. Para usarlo, depositas bitcoin en una billetera controlada por una federación de quince empresas y recibes L-BTC a cambio. Esas empresas mantienen tus bitcoins. Tu autotutela termina en el momento en que comienza el anclaje. Si la federación es honesta y el software es correcto, todo funciona. Si cualquiera de los dos falla, estás sosteniendo un pagaré de un cártel de bolsas.
Eso no es una sidechain. Es un banco con pasos adicionales. Y en septiembre, el banco perdió el 95% de su bóveda en 23 minutos — no por un robo, sino porque su propio software tenía un defecto en su aritmética.
Esta es la incómoda verdad que expone el hackeo. El grupo de "no tus claves" pasó una década burlándose de los exchanges y custodios, solo para que la empresa de infraestructura Bitcoin más prominente construyera un producto cuyo modelo de seguridad entero es "confía en estas quince empresas". El multisig no falló. La confianza sí — la confianza de que un pequeño grupo de empresas mantendría un código inquebrantable, y que el código sería revisado con tanto cuidado como lo exige una bóveda de 320 millones de dólares.
¿Quién gana y quién pierde aquí?
El atacante gana, por ahora: aproximadamente 598.5 BTC sentados en una billetera que todo el mundo puede ver pero nadie puede tocar, mientras Blockstream suplica por su devolución y amenaza con forensia.
Blockstream pierde en el libro de reputación incluso si recupera cada satoshi. Esta es la misma compañía que, según informes, había sido advertida sobre la vulnerabilidad antes del exploit por el Equipo Rojo de Bitcoin voluntario — una afirmación que Blockstream disputa, atribuyendo el error a lo que llama una corrección asistida por IA defectuosa. Ese detalle, si se mantiene, es su propia historia: la posibilidad de que una herramienta de codificación de IA introdujera un error criptográfico en una bóveda de 320 millones de dólares.
Los titulares de L-BTC son las verdaderas víctimas. Más de un mes después del ataque, los peg-outs — la capacidad de canjear L-BTC de vuelta a bitcoin real — permanecen suspendidos. Puedes mantener L-BTC, pero no puedes obtener fácilmente tu bitcoin de vuelta. Esa es la definición de una cuenta congelada, y está ocurriendo en la red vendida como la respuesta más rápida y privada de Bitcoin.
El ecosistema más amplio también pierde algo más sutil: la fantasía de que "Bitcoin L2" es un problema resuelto. No lo es. Es una serie de compromisos entre la descentralización y la usabilidad, y Liquid simplemente valoró esos compromisos en 320 millones de dólares.
¿Ha ocurrido esto antes?
Sí, y el patrón es instructivo. El hackeo de Liquid Global Exchange en 2021, las vulnerabilidades en puentes que han drenado DeFi durante años, los robos en los puentes Ronin y Wormhole: el tema recurrente no son las claves, es el código. La industria sigue tratando a las firmas múltiples y las federaciones como el límite de seguridad, cuando el verdadero límite es el software que las alimenta.
Lo que es diferente ahora es el giro de "sombrero blanco". Drenar los fondos primero y negociar después: el juego de drenar y luego revelar, se está convirtiendo en una táctica repetible. El CTO de Ledger, Charles Guillemet, lo expresó con claridad: los investigadores honestos revelan primero y dejan que la empresa decida. Cualquier otra cosa es extorsión. El atacante de Liquid hizo lo contrario y aún espera ser celebrado.
¿Hacia dónde va la segunda capa de Bitcoin?
La respuesta honesta es que se divide en dos caminos. Un camino es minimizado en confianza: canales al estilo Lightning y, eventualmente, construcciones criptográficas más rigurosas: rollups, pruebas de validez, donde puedes verificar en lugar de confiar. El otro camino es el atajo federado: rápido, privado y fácil, pero solo tan seguro como un puñado de empresas y su código.
El hackeo de Liquid es un voto a favor de la primera vía y una advertencia sobre la segunda. Las sidechains federadas no desaparecerán: son demasiado convenientes para los exchanges que las operan, pero su marketing necesita un descargo de responsabilidad que nunca imprimirán voluntariamente: "riesgo custodial incluido".
Blockstream enfrenta una pregunta más difícil. Es simultáneamente el custodio de un fracaso de 320 millones de dólares, el patrocinador de un SPAC de tesorería por 4 mil millones de dólares que colapsó (Cantor ahora reclama una tarifa de terminación de 15 millones de dólares) y el antiguo padre de una operación de minería enredada en demandas. La empresa que enseñó a Bitcoin "no confíes, verifica" ahora le pide al mundo que confíe en que puede cubrir aproximadamente 600 bitcoins perdidos mientras su propio balance está bajo presión.
¿Qué significa esto para los traders?
La conclusión práctica es poco glamorosa: entiende lo que realmente posees. Si estás holding L-BTC, no estás holding bitcoin — estás holding una reclamación sobre la reserva de una federación, y ahora mismo esa reclamación está parcialmente sin respaldo y no canjeable. El peg es tan bueno como la voluntad y la capacidad de la federación de cubrirlo.
Más ampliamente, trata las afirmaciones de "Bitcoin L2" con el mismo escepticismo que aplicarías a cualquier custodio. Pregunta dónde están las claves. Pregunta quién puede congelar tu retiro. Pregunta si el modelo de seguridad es "verificar" o "confiar". La diferencia entre los dos es aproximadamente la diferencia entre holding bitcoin y holding un recibo bancario.
El incidente de Liquid no es una razón para abandonar las segundas capas. Es una razón para dejar de fingir que todas son iguales — y para dejar de fingir que alguna de ellas está libre del riesgo de contraparte que Bitcoin fue inventado para eliminar.
La pregunta que nadie quiere responder
Bitcoin se construyó para que no tuvieras que confiar en una federación de extraños con tu dinero. Liquid fue construido por la propia empresa de Bitcoin, y lo hizo exactamente así, luego perdió el 95% de la bóveda en menos de media hora.
La pregunta no es si los 598.5 BTC restantes regresan. La pregunta es si una industria que predica "no confíes, verifica" está dispuesta a admitir que su segunda capa ha sido un ejercicio de confianza todo este tiempo, y qué planes tiene al respecto.
FAQ
¿Qué es la Red Liquid? Liquid es una sidechain federada de Bitcoin lanzada por Blockstream en 2018. Los usuarios depositan bitcoin en una billetera controlada por una federación de aproximadamente quince empresas —exchanges, creadores de mercado y empresas de infraestructura— y reciben L-BTC a cambio, lo que permite un liquidación más rápida y confidencial entre instituciones.
¿Fue hackeado Bitcoin mismo? No. La capa base de Bitcoin nunca se vio afectada. La vulnerabilidad residía en Elements, el software que ejecuta Liquid, y permitía la acuñación de L-BTC sin respaldo. No se comprometieron las claves de firma de la federación; la función multisig funcionó exactamente como estaba diseñada.
¿Cuánto se llevó y cuánto regresó? Aproximadamente 4,000 BTC (alrededor de $320 millones en ese momento) fueron extraídos de la reserva de la federación el 6 de septiembre de 2026. El atacante devolvió aproximadamente 3,400 BTC (85%) después de que Blockstream parcheara el error, manteniendo aproximadamente 598.5 BTC (~$47 millones) como un premio autodeclarado. TRM Labs (https://www.trmlabs.com/) lo clasificó como el mayor hackeo de criptomonedas de 2026 hasta la fecha.
¿Por qué las salidas de la red siguen suspendidas? Blockstream mantuvo deshabilitada la función de salidas de la red (retiros) mientras continúa una auditoría independiente del software Elements parcheado. Los titulares de L-BTC pueden realizar transacciones en Liquid, pero no pueden canjear fácilmente de vuelta a la cadena principal de Bitcoin hasta que las reservas se restauren por completo.
¿Cuál es la posición de Blockstream sobre la "recompensa"? Blockstream rechazó la demanda, calificando la retención de fondos como "robo, no divulgación responsable", y dijo que buscaría la recuperación a través de las fuerzas del orden, los intercambios y la forense blockchain, en lugar de pagar un rescate por la devolución de la propiedad robada.