Blockstream ha dado un ultimátum público a los responsables del hackeo de la red Liquid: devuelvan los 4.000 bitcoin robados o habrá tribunales. La empresa de infraestructura bitcoin Blockstream no piensa negociar más ni pagar un rescate, por mucho que los atacantes amenacen con filtrar comunicaciones internas.
Qué ha pasado con la red Liquid
Los hechos arrancaron este mes, cuando un grupo que se presentaba como hackers de sombrero blanco retiró unos 320 millones de dólares de la cartera de la federación que respalda Liquid. No fue un robo clásico con claves robadas: los atacantes explotaron un fallo de inflación en la sidechain para crear más de 4.000 LBTC que no existían y convertir esa emisión fantasma en bitcoins reales.
Liquid es una capa 2 creada por Blockstream que replica bitcoin en forma de LBTC, un token respaldado 1:1 por bitcoin. Su promesa es simple: liquidar transferencias más rápido que la red principal. La contrapartida es que la seguridad depende de una federación de custodios, no directamente de la minería de Bitcoin. El fallo abrió una grieta justo ahí.
La negociación posterior resulta digna de novela. Los atacantes enviaron mensajes incrustados en bloques de Bitcoin. Primero pidieron corregir el error y afirmaron que devolverían los fondos tras comprobar los parches. Después insultaron a Blockstream y amenazaron con revelar sus mensajes cifrados si la compañía no les permitía quedarse con el 10% del botín.
La respuesta de Blockstream: ni rescate ni blanqueo
Blockstream lo ha zanjado con un comunicado en X: tomar activos sin autorización y retenerlos no es divulgación responsable ni actividad white-hat, es un delito. La firma asegura que colaborará con fuerzas de seguridad, exchanges, proveedores de servicios y especialistas forenses para rastrear los fondos e identificar a los responsables.
La postura tiene una lectura práctica. Los atacantes ya devolvieron gran parte del monto, pero retienen 598,5 bitcoins —más de 46 millones de dólares— como chantaje. Blockstream se niega a pagar ese rescate y recuerda que la comunidad bitcoin no dejará de perseguir esos fondos. Para los usuarios, el mensaje es claro: nadie va a validar un bug bounty autoasignado.
Blockstream no valida un rescate autoasignado: lo llama delito y se prepara para la vía judicial.
Qué dice este caso sobre la seguridad de las capas 2
El incidente no cuestiona la red principal de Bitcoin, pero sí recuerda que las capas construidas encima añaden sus propios riesgos. Una cosa es la fortaleza matemática de la minería; otra, los contratos y carteras federadas que permiten mover bitcoins tokenizados. Cuando una de estas piezas falla, las pérdidas pueden ser reales en bitcoin.
El sector vivió un golpe parecido en julio con el ataque a usuarios del monedero físico Coldcard donde fallos en la generación de números aleatorios permitieron adivinar frases semilla y robar más de 1.800 bitcoin. La lección se repite: la seguridad no depende solo del protocolo, sino de cómo se implementa cada capa y de quién controla las llaves.
A corto plazo, la presión estará en Blockstream para demostrar que Liquid puede recuperarse sin pagar un rescate. Si lo logra, sentará un precedente duro contra la extorsión en cripto. Si los fondos retenidos acaban en exchanges, la colaboración con las plataformas y los análisis on-chain serán la prueba de si este esquema tiene realmente salida.
