The Liquid Network perdió $319M debido a un hackeo autodenominado "white hat" — y la verdadera historia es que la economía de puentes de las criptomonedas funciona con código sin parchear mientras que la extorsión se redefine como búsqueda de recompensas.
El hackeo 'White Hat' de las criptomonedas es extorsión con un comunicado de prensa
El 6 de septiembre de 2026, alguien drenó aproximadamente $319 millones en bitcoin de la Liquid Network — y luego pidió que se le agradeciera por ello. El atacante acuñó casi 4,000 tokens respaldados por bitcoin debido a un error de software, extrajo el 95 por ciento de las reservas de la red en menos de cuarenta minutos y devolvió la mayor parte del dinero solo después de que Blockstream parcheara el código. Los medios de criptomonedas recurrieron a su etiqueta favorita: "white hat". Lo que realmente sucedió fue más antiguo y feo: un hackeo crypto white hat que en realidad era una extorsión disfrazada de comunicado de prensa.
Conclusiones clave
- Liquid Network, la sidechain de Bitcoin de Blockstream, perdió alrededor de 4,019 BTC ($319 millones) el 6 de septiembre de 2026 — el 95% de su reserva de federación — a través de un error de software, no por una clave robada.
- El atacante se identificó a sí mismo como un "white hat", devolvió aproximadamente el 85% ($272 millones) y conservó 598.5 BTC (alrededor de $47 millones) — más del 10% de la "recompensa" que había exigido.
- Una corrección para el error de caché subyacente fue redactada el 3 de agosto y permaneció en una rama de desarrollo mientras que la producción ejecutaba un software con cinco meses de desactualización.
- Blockstream se negó a pagar, lo calificó de robo y amenazó con recurrir a las autoridades. El CTO de Ledger lo llamó "extorsión, no un hackeo white-hat".
- 2026 ya ha visto un récord de 333 incidentes de robo de criptomonedas, incluyendo 26 ataques a puentes y sidechains — un aumento frente a los 3 de todo 2025.
¿Cómo se roban $319 millones sin tocar una sola clave?
La mecánica es importante, porque rompe el supuesto de seguridad más antiguo de las criptomonedas. Liquid es una sidechain federada de Bitcoin operada por Blockstream y gobernada por un multisig de 11 de 15 distribuido en más de 80 exchanges y mesas de trading. Los usuarios bloquean bitcoin para acuñar L-BTC y luego lo canjean. El 6 de septiembre, un atacante explotó un error de colisión de caché en Elements, el código base de código abierto que ejecuta Liquid, para conjurar aproximadamente 3,998 L-BTC sin bitcoin reales que los respaldaran.
Los firmantes de la federación aprobaron entonces una solicitud de peg-out que parecía totalmente legítima, ya que Elements no podía distinguir una reclamación fraudulenta de una real. No se robó ninguna clave privada. Ningún servidor fue comprometido. Sin ingeniería social. Solo una cadena de software que verificó una mentira. Desde el bloque disputado hasta el pago pasaron 36 minutos. La reserva de la federación cayó de aproximadamente 4,200 BTC a 197 BTC en una sola transacción.
La propia declaración de Blockstream decía que la clave de autorización de SideSwap "no fue comprometida, ni tampoco ninguna otra". Esa línea es lo que separa esto de casi todos los hackeos de puentes de los últimos tres años. El puente Ronin, Wormhole y el drenaje de Bybit fueron historias de robo de claves. Esta fue una historia de corrección, y la corrección es el modo de falla del que las criptomonedas están menos equipadas para hablar.
¿Por qué había una corrección en una rama mientras que la producción ejecutaba código vulnerable?
Aquí está el detalle que debería mantener despiertos a todos los oficiales de cumplimiento institucional. Una reconstrucción independiente de DeFiPrime descubrió que un ingeniero de Blockstream creó una corrección que vinculaba una clave de caché con el activo correcto el 3 de agosto, cinco semanas antes de la explotación. Ese cambio llegó a la rama de desarrollo el 3 de septiembre, tres días antes de que se moviera el dinero. La solicitud de extracción para llevarlo a la rama de lanzamiento estable se abrió el 4 de septiembre y se fusionó el 6 de septiembre a las 17:21 UTC, menos de tres horas después de que el pago se confirmara en la cadena.
La versión que los miembros de la federación estaban ejecutando realmente en producción era la 23.3.3, fechada el 13 de abril. Tenía casi cinco meses de antigüedad. La corrección de emergencia se lanzó más tarde como Elements v23.3.4.
Esta es la verdad poco glamorosa sobre la seguridad cripto en 2026: la criptografía está bien. El consenso está bien. El problema es la disciplina de lanzamiento: si un parche que alguien ya escribió llega realmente al equipo que guarda mil millones de dólares. Ningún módulo de seguridad de hardware, ningún umbral de multisig, ninguna ceremonia de claves lo detecta. Una firma es inútil si lo que se está verificando nunca fue cierto en primer lugar.
¿Sigue siendo una recompensa una recompensa de 47 millones de dólares?
El atacante incrustó "somos whitehats. contáctenos en la cadena" en el campo OP_RETURN de una transacción de Bitcoin, luego negoció con Blockstream a través de mensajes cifrados en la cadena, exigiendo que todos los nodos fueran parcheados antes de que se devolvieran los fondos. Pidieron una recompensa del 10%, aproximadamente 40 millones de dólares, pagada desde el propio tesoro de Blockstream, y advirtieron que de lo contrario los "liquidadores" podrían enfrentar pérdidas de alrededor del 15%.
Después del parche, devolvieron aproximadamente 3.400 BTC, unos 272 millones de dólares, y se quedaron con 598,5 BTC, alrededor de 47 millones de dólares. Eso es más del 10% que pidieron y aproximadamente cinco veces la mayor recompensa por errores que la industria haya pagado nunca. El pago único récord de Immunefi es de 10 millones de dólares.
Llámalo como quieras. Una recompensa por vulnerabilidades legítima no comienza vaciando el 95 por ciento de una cartera de reserva, ni termina con el "investigador" conservando una porción mayor que la cifra que citó. La secuencia —tomarlo todo, tomarlo como rehén, dictar la línea de tiempo de la remediación, devolver la mayoría pero no todo— no es investigación de seguridad. Es una negociación de rescate donde el secuestrador pudo escribir su propia entrada en Wikipedia.
Y la propia industria lo sabe. Blockstream se negó a pagar y dijo que tomar activos sin permiso y negarse a devolverlos "constituye robo, no una divulgación responsable de vulnerabilidades", prometiendo trabajar con las fuerzas del orden y la forense de blockchain. El CTO de Ledger, Charles Guillemet, fue más directo: "Si esto alguna vez fue una recompensa negociada... se parece más a extorsión que a hacking de sombrero blanco."
Sin embargo, el titular por defecto seguía siendo "sombreros blancos salvaron la red". Esa es la parte más peligrosa de esta historia. Ahora hemos enseñado a una generación de atacantes que la explotación óptima es: robarlo todo, reclamar una insignia de sombrero blanco, conservar una porción y dejar que el propio equipo de relaciones públicas de la víctima haga el resto.
¿Por qué los puentes y las cadenas laterales son de repente el punto débil?
Liquid no es un caso aislado. Es la punta de una tendencia. TRM Labs cuenta aproximadamente 1.73 mil millones de dólares robados en 333 incidentes en 2026 hasta ahora —un número récord de incidentes, incluso mientras el botín promedio disminuye. Veintiséis de esos ataques golpearon puentes entre cadenas y herramientas de interoperabilidad, en comparación con tres en todo 2025. En la misma semana que Liquid, Symbiosis perdió 336,000 dólares debido a una explotación de puente que acuñó 46 mil millones de tokens falsos de syBTC —más de 2,000 veces el suministro real de Bitcoin— y Nomic perdió 3.1 millones de dólares debido a una acuñación cruzada entre cadenas sin respaldo.
El patrón es inequívoco. Los espectaculares robos de puentes de medio mil millones de dólares de 2022 han dado paso a una constante llovizna de explotaciones más pequeñas, a escala industrial, de acuñación sin respaldo. Eso es quizás peor. Un evento catastrófico desencadena una crisis y una solución. Mil pequeñas fugas normalizan el sangrado. Y todas convergen en la misma verdad arquitectónica: cada cadena lateral, puente y envoltorio de bitcoin sintético se basa en la suposición de que los tokens anclados están siempre totalmente respaldados. Liquid acaba de demostrar que esa suposición está a un solo error de caché de ser ficción.
¿Quién gana y quién pierde?
Los perdedores son obvios. La reputación de Blockstream como infraestructura de grado de custodia sufrió un golpe directo, y los más de 80 miembros de la federación aprendieron que su multisig no los protegió del fallo que realmente ocurrió. La tesis institucional más amplia —que bitcoin puede ser envuelto, conectado y tokenizado en las finanzas tradicionales como colateral impecable— recibió un golpe silencioso. Liquid mantenía aproximadamente 5 mil millones de dólares en valor a través de bonos del Tesoro de EE. UU. tokenizados, deuda corporativa y otros activos del mundo real. Si la infraestructura que mueve el valor más rápido que la cadena base sigue teniendo fugas, la narrativa de "bitcoin como colateral" que respalda las stablecoins bancarias y el liquidación tokenizada comienza a verse frágil.
Los ganadores son más oscuros. Quien se llevó 47 millones de dólares, obviamente. Pero también el pequeño ejército de bots de MEV y contrahackers que ahora merodean estos exploits —la semana después de Liquid, un bot llamado Yoink robó 7,8 millones de dólares a un hacker que se los había robado primero. Estamos construyendo un ecosistema donde la única defensa confiable es otro depredador. Eso no es resiliencia. Eso es una cadena alimentaria.
¿No hemos visto esta película antes?
Sí, y seguimos diciéndonos la moraleja equivocada. El hackeo de DAO en 2016 y la temporada de puentes en 2022 —los 625 millones de dólares de Ronin, los 320 millones de dólares de Wormhole— todos produjeron el mismo ritual: shock, un parche, un análisis posterior y un voto de que una mejor custodia y multisig serían la respuesta. Liquid es el primer exploit importante que muestra que la custodia nunca fue la verdadera pregunta. El hackeo de DAO mató a un fondo. Los robos de puentes mataron la confianza ingenua en el código entre cadenas. Liquid mata una ilusión más sutil: que una federación de empresas cuidadosas y bien intencionadas es significativamente más segura que un contrato inteligente, cuando ambos son solo tan buenos como el pipeline de liberación que hay debajo de ellos.
Lo que es diferente ahora es la audiencia. El dinero que se mueve a través de estos rieles ya no es capital minorista de tipo degen. Es el sustrato institucional de una clase de activos de varios billones de dólares —21 bancos construyendo una stablecoin en dólares, Citi liquidando pagos transfronterizos tokenizados, Wyoming tokenizando una stablecoin estatal. Las personas que ahora dependen de la infraestructura "federada" y "conectada" son exactamente las personas que no pueden permitirse el descuento de tasa de los someros blancos.
¿Hacia dónde va esto en tres años?
Esperen tres cosas. Primero, un mercado real de seguros de puentes y bounty-as-a-service formal, porque las firmas necesitarán valorar este riesgo de la misma manera que las aerolíneas valoran la falla de un motor: actuarialmente, no con esperanza. Segundo, un ajuste de cuentas regulatorio y legal. Cuando un "white hat" se queda con $47 million y lo lava a través de CoinJoins, un fiscal eventualmente preguntará por qué nadie presentó un Reporte de Actividad Sospechosa sobre una transferencia no autorizada de $320 million, y la defensa de "era un bounty" morirá en un tribunal. Tercero, una bifurcación: bitcoin que permanece en la cadena base —lento, caro, aburridamente seguro— frente a bitcoin que se mueve a través de capas de wrapping, rápido, barato y estructuralmente permeable. Las instituciones tendrán que decidir cuál de los dos quieren realmente en su balance general.
¿Cuál es la lectura estratégica para los traders?
Sin predicciones de precio. La señal está en la infraestructura. La infraestructura que depende de multisigs federadas y pegs puenteados tiene un modo de falla recurrente y cuantificable, y el mercado aún no está valorando la diferencia entre un activo liquidado nativamente y una representación wrapped del mismo. Observen hacia dónde fluyen los dólares de custodia institucional a continuación. Las firmas que puedan demostrar su pipeline de lanzamiento —no su gestión de claves, sino su pipeline de lanzamiento— comandarán una prima. Aquellas que sigan ejecutando código de abril contra una billetera de mil millones de dólares no lo harán. Y traten cada titular de "el white hat devolvió los fondos" como una señal de alerta, no como un alivio: significa que un actor hostil tuvo dinero real y eligió los términos.
Aquí está la pregunta que nadie quiere responder: si un ladrón vaciara tu bóveda, te enviara de vuelta el 85 por ciento y te pidiera que lo llamaras consultor de seguridad, ¿firmarías el comunicado de prensa? Crypto acaba de hacerlo. Y mientras sigamos pagando a los atacantes para que sean héroes, seguiremos obteniendo exactamente los héroes por los que hemos pagado.
FAQ
¿Fue el hackeo de Liquid Network un ataque de robo de claves?
No. Blockstream confirmó que la clave de autorización de SideSwap utilizada en el retiro nunca se vio comprometida. El atacante explotó un error de colisión de caché en Elements, el software de validación de Liquid, para acuñar aproximadamente 3,998 L-BTC sin respaldo y canjearlos por bitcoin real.
¿Cuánto conservó el atacante?
Alrededor de 598.5 BTC, aproximadamente $47 millones, o cerca del 15% de los ~$319 millones drenados. El atacante devolvió unos 3,400 BTC (~$272 millones, aproximadamente 85%) después de que Blockstream lanzara el parche.
¿Ya existía una solución antes del ataque?
Sí. Una reconstrucción independiente encontró que una solución relacionada con la clave de caché fue creada el 3 de agosto de 2026 e integrada en la rama de desarrollo el 3 de septiembre — pero la producción estaba ejecutando la versión 23.3.3 del 13 de abril, con cinco meses de retraso.
¿Es "white hat" un estatus legal o formal en crypto?
No. Es una etiqueta autoaplicada sin significado legal. A diferencia de un bug bounty preautorizado, el atacante de Liquid tomó los fondos primero y los devolvió condicionalmente, lo que los tribunales y las fuerzas del orden pueden considerar como robo o extorsión, independientemente de la etiqueta. Blockstream ha dicho que perseguirá los fondos restantes.
¿Por qué los bridges y las sidechains están siendo más atacados en 2026?
Tienen liquidez concentrada y dependen de un código complejo que verifica los pegs y las pruebas. TRM Labs contabiliza 26 ataques a bridges e interoperabilidad en 2026 hasta ahora, frente a 3 en 2025, a medida que los atacantes pasan del robo de claves a exploits de acuñación sin respaldo.
Lectura adicional: liquid.net, blockstream.com, trmlabs.com, slowmist.com.