Hackeo de Liquid Network: ¿white hat, black hat o algo más?

​La parte que explotó Liquid Network se identificó inicialmente como un actor white hat en un mensaje on-chain. Sin embargo, gran parte de la comunidad de usuarios de Bitcoin no ha aceptado esa etiqueta. Después de que aproximadamente 4,000 Bitcoin salieran de la wallet multifirma de la federación que respalda Liquid Bitcoin (L-BTC) en Liquid Network, la misma parte devolvió 3,400 Bitcoin y se quedó con unos 598,5 Bitcoin, valorados en aproximadamente 47 millones de dólares en el momento del drenaje. El debate posterior en Bitcoin Twitter se convirtió en ocasiones en una intensa discusión sobre si ese remanente constituye una recompensa por bug, un rescate o algo más.

Revisión de lo ocurrido

El 6 de septiembre, un bug de consenso en Elements, el software de código abierto que impulsa Liquid, permitió a una parte crear unos 4,000 L-BTC que no estaban respaldados por ningún depósito correspondiente en la blockchain base de Bitcoin. Chainalysis describió posteriormente la vulnerabilidad como un problema en la forma en que los nodos de Liquid almacenaban en caché las comprobaciones de range proofs utilizadas por su tecnología de mejora de la privacidad, conocida como Confidential Transactions. Los datos inválidos podían tratarse como un resultado verificado previamente, lo que permitía a los atacantes acuñar L-BTC sin respaldo.

La Liquid Federation liberó unos 3,996 Bitcoin a la dirección de destino en la blockchain de Bitcoin porque la transacción parecía implicar la quema de L-BTC legítimos y válidos. Para ser claros, durante el ataque no se robaron ni comprometieron claves de la federación. Dicho esto, SideSwap asumió la responsabilidad por su propio papel en el incidente, ya que no había implementado suficientes comprobaciones de coherencia ni retrasos temporales relacionados con su sistema automatizado de peg-out. “Ese diseño es lo que convirtió un evento reversible en Liquid en un pago irreversible en Bitcoin”, escribió SideSwap.

Finalmente, los hackers enviaron 3,400 Bitcoin de vuelta a la dirección de la federación y se quedaron con el resto. Desde entonces, las conversaciones entre ambas partes han continuado mediante transacciones OP_RETURN publicadas en la blockchain de Bitcoin; sin embargo, actualmente no está claro si los hackers devolverán más fondos a la dirección de la federación después de que las negociaciones públicas se volvieran cada vez más tensas.

El hecho de que los hackers aún conserven casi 600 Bitcoin es lo que ha provocado el debate sobre cómo debería clasificarse este incidente. Algunos usuarios de Bitcoin y profesionales del sector cripto lo consideran una recompensa no oficial obtenida tras un fallo de seguridad negligente, mientras que otros sostienen que retener las monedas mientras se exige un parche y después quedarse con una parte es, en el mejor de los casos, una conducta grey hat y, en el peor, una extorsión criminal.

Defensores de la postura grey hat

El CEO de Layer Two Labs y creador de las drivechains, Paul Sztorc, afirmó: “Creo que la propina del 15 % es bastante razonable”. Sin algún tipo de pago, escribió, el incentivo es “tomar TODAS las monedas inmediatamente”, “MEZCLARLAS todas de inmediato” y “NO contactar nunca con nadie”. Posteriormente añadió que lo que percibía como una falta de gratitud por los 3,400 Bitcoin devueltos “sí me parece bastante lamentable”.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El cofundador de USDT0, Lorenzo Romagnoli, también compartió argumentos favorables al hacker de Liquid Network en un intercambio con el CEO de AnchorWatch, Rob Hamilton. “Literalmente devolvió 3,400 BTC; no tienes idea de lo improbable que es esto”, escribió, y añadió que “[North Korea] habría destrozado todo; eso sí sería black hat”.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El autor de Bitcoin-Dollar, Mark Goodwin, expresó un sentimiento similar al publicar: “¿Se imaginan que un hacker les devuelva casi 300 millones después de que ustedes y 14 amigos no consiguieran almacenarlo de forma segura y aun así se quejen?”.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Para ser claros, no parece haber ningún profesional destacado del sector Bitcoin que llegue tan lejos como para calificar esto de incidente de hacking estrictamente white hat.

El argumento black hat

El bando contrario en este debate está más interesado en el hecho de que los hackers aún conservan 600 Bitcoin derivados del incidente que en los 3,400 que ya han sido devueltos. El desarrollador de Bitcoin y autor de varias Bitcoin Improvement Proposals (BIP), Calvin Kim, advirtió que tratar como aceptable la retención del 15 % envía un mensaje claro. 

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

“Hackea a alguien y quédate con el 15 %. ¡Ni siquiera se considera un robo!”, escribió. “A este ritmo, no me sorprendería que hubiera gente haciendo [pull requests] con vulnerabilidades para poder hackear y quedarse con su 15 %”.

El CTO de Ledger, Charles Guillemet, lo calificó de “extorsión pura y dura”. “Si estas personas fueran honestas, se habrían puesto en contacto con Blockstream y habrían explicado la vulnerabilidad al equipo de seguridad”, escribió. “A partir de ahí, Blockstream habría decidido qué era lo mejor para Liquid y sus usuarios: pausar la red, corregir la vulnerabilidad y después pagar una recompensa al investigador o investigadores. Cualquier otra conducta es extorsión”. En una publicación anterior, después de que se devolvieran los 3,400 Bitcoin, también afirmó: “¡Esto se parece más a una extorsión que a un hacking white hat!”.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El mencionado Hamilton ha sido igual de directo. “No sabemos qué hacían las comunicaciones cifradas, pero retener los fondos mientras se negocia una parte no es un comportamiento white hat”, escribió en respuesta a Sztorc. En otra conversación, Hamilton también señaló que todo el marco white hat comenzó con los atacantes. “Ni siquiera estaríamos usando la expresión white hat si el atacante no hubiera iniciado todo el encuadre de la ventana de interpretación al identificarse como white hat. No, gracias; no voy a iniciar la conversación aceptando su marco”.

Uno no puede simplemente autodenominarse ‘white hat’

También cabe señalar que la etiqueta autoproclamada de “white hat” puede no tener importancia ante un tribunal. La fundadora de Gart, Alena Vránová, escribió que explotar el bug, tomar 4,000 Bitcoin y exigir una corrección constituye extorsión. “Esto puede implicar cargos por delitos graves y largas penas de prisión”, añadió. “En Estados Unidos, hasta 20 años, y los cargos por fraude informático pueden sumar más”. En publicaciones posteriores, describió los elementos que buscan los tribunales: una exigencia, una amenaza de daño si no se satisface la exigencia y la intención de obtener una propiedad o ventaja. “No pueden ‘tomar o quedarse con algo como recompensa’”, escribió. “Si lo hacen, es robo + extorsión + fraude”.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

El editor técnico seudónimo de Bitcoin Magazine, Shinobi, expuso un argumento similar después de la devolución parcial de los fondos drenados. Si la parte hubiera devuelto el 100 %, sostuvo, una recompensa habría sido posible “con plena seguridad jurídica”. Al quedarse con una parte después de una negociación pública, escribió, quedan “completamente expuestos y atrapados por extorsión, literalmente perpetrada en público”.

Ver publicación en X Cargando...

El tuit fue eliminado por el autor.

Pero guardamos todo 🙂.

Una pérdida que a Liquid le costaría mucho recuperar

Un aspecto que se ha pasado relativamente por alto en el debate es que Liquid nunca ha sido un gran generador de ingresos y desde hace tiempo es objeto de burlas por su uso relativamente limitado. De forma humorística, cuando un usuario de X preguntó cuánto tardaría hipotéticamente Liquid Network en cubrir el déficit actual de 600 Bitcoin únicamente con las comisiones de transacción, Grok estimó que tardaría unos 258 años.

Dicho esto, Blockstream dejó claro que no pagará lo que percibe como un rescate relacionado con el hackeo de Liquid Network. En X, la empresa declaró: “Blockstream no pagará un rescate por la devolución de fondos robados. Tomar activos sin autorización y retenerlos es un delito, no una divulgación responsable. No es una actividad white hat. Es un robo”.