¿Qué harías si alguien vaciara la caja fuerte… y luego te devolviera casi todo?
Imagina que guardas tus ahorros en una caja de seguridad compartida con miles de personas. Es rápida, discreta y nadie puede ver cuánto tienes dentro. Un domingo cualquiera, alguien descubre un fallo en la cerradura, se lleva casi todo el contenido y, horas después, deja una nota pegada en la puerta: "Somos de los buenos. Hablemos."
Al día siguiente devuelve la mayor parte. Pero se queda con un 15% "por las molestias" y, además, exige que el dueño del edificio le pague una recompensa extra de su propio bolsillo.
No es el guion de una serie. Es, en esencia, lo que pasó entre el 6 y el 11 de septiembre de 2026 en Liquid Network, una red construida sobre Bitcoin. Y aunque tú nunca hayas usado Liquid, esta historia toca algo que sí te afecta: ¿quién revisa el código que protege tu dinero digital, y cuánto se le paga por hacerlo?
Vamos a recorrerla con calma, sin buenos ni malos de caricatura, y con la mirada puesta en lo que tú puedes aprender para tener más control y más tranquilidad.
Primero, lo básico: ¿qué es Liquid y por qué es valioso?
Liquid es una sidechain de Bitcoin, es decir, una cadena paralela conectada a Bitcoin. La lanzó la empresa Blockstream en 2018 y la usan exchanges, traders y otras instituciones para mover bitcoin de forma más rápida y más privada que en la cadena principal.
Funciona así, en versión sencilla:
Tú bloqueas bitcoin real (BTC) en una billetera que custodia un grupo de operadores llamado la federación. A cambio, recibes el mismo monto en L-BTC, una versión "Liquid" de tu bitcoin. Cuando quieres salir, entregas tus L-BTC y la federación te libera los BTC reales. Para autorizar esa salida, se necesita la firma de al menos 11 de 15 miembros de la federación. Es como una bóveda que solo se abre si once de quince guardianes giran su llave al mismo tiempo.
Y aquí viene lo bonito desde el punto de vista de la privacidad: en Liquid, los montos de las transacciones están ocultos. Nadie que mire la cadena puede saber cuánto enviaste. Esto se llama Confidential Transactions (transacciones confidenciales), y es una idea muy poderosa: tu actividad financiera no queda expuesta a cualquier curioso.
Pero ¿te has preguntado alguna vez cómo se asegura una red de que nadie invente dinero si los montos están escondidos?
La respuesta son las pruebas de rango (range proofs). Cada salida de una transacción lleva una pequeña prueba matemática que dice: "el monto que escondo es válido, no es negativo ni sale de la nada". La red verifica esa prueba sin necesidad de ver el número. Es como un sobre cerrado con un sello notarial que garantiza que dentro hay una cantidad legítima.
Verificar esos sellos cuesta mucho trabajo computacional. Por eso, el software de Liquid (llamado Elements) guarda una especie de "memoria" o caché de las pruebas que ya revisó, para no repetir el trabajo. Y justamente ahí, en esa memoria, estaba la grieta.
El modus operandi, paso a paso
Lo que sigue es la reconstrucción que han hecho firmas de análisis como TRM Labs, desarrolladores independientes y la propia Blockstream. Algunos detalles todavía pueden cambiar cuando se publique el informe técnico final.
1. La preparación. En las horas previas al ataque, el atacante envió decenas de transacciones a Liquid que llevaban datos de prueba coincidentes. Visto con perspectiva, parece que estaba "sembrando" la memoria del sistema.
2. La falsificación. El fallo estaba en cómo Elements identificaba cada prueba dentro de esa caché. Según el informe de Liquid, una prueba inválida podía confundirse con una ya verificada, como si un portero de discoteca aceptara un sello en la mano que en realidad era una copia. A las 13:53 UTC del 6 de septiembre, el atacante creó unos 4.000 L-BTC sin ningún bitcoin real que los respaldara.
3. La salida por la puerta principal. Aquí está lo más llamativo: no rompió ninguna cerradura de la bóveda. Pidió un retiro normal. A las 14:06 UTC solicitó convertir esos L-BTC en BTC reales a través de SideSwap, una plataforma miembro de la federación que tiene una llave para autorizar salidas. A las 14:28 UTC, la federación pagó cerca de 4.000 BTC. Desde la creación del dinero falso hasta el pago: unos 36 minutos. La reserva de la federación pasó de unos 4.200 BTC a menos de 200.
Ninguna llave fue robada. Los guardianes firmaron porque el software les decía que todo era legítimo. Es un recordatorio poderoso: todas las capas de seguridad humana dependen de que la capa automática diga la verdad.
SideSwap, por su parte, asumió públicamente su parte de responsabilidad. Explicó que el fallo estaba en Elements, no en sus sistemas, pero reconoció dos decisiones que convirtieron un error de Liquid en una pérdida real de bitcoin: tenía su llave de autorización conectada a internet con pagos automáticos en el mismo bloque, y no aplicaba límites de tamaño, velocidad u origen a las órdenes. Incluso devolvió la comisión que había cobrado por esa operación, unos 4 BTC. Pocas veces se ve una admisión así de directa.
4. El mensaje en la botella. Horas después, apareció un mensaje grabado dentro de una transacción de Bitcoin, en un campo llamado OP_RETURN (un pequeño espacio donde se pueden escribir datos que quedan públicos para siempre). Decía: "we are whitehats. contact us on chain" ("somos hackers de sombrero blanco, contáctennos en la cadena").
A partir de ahí comenzó algo inédito: una negociación entre el atacante y Blockstream a través de la propia blockchain, con mensajes cifrados con PGP que cualquiera podía ver pasar, aunque no leer. La condición del atacante fue clara: primero parchen el fallo en todos los nodos; después devolvemos los fondos.
5. La devolución parcial. Blockstream detuvo la red, preparó el arreglo y, el 7 de septiembre, el atacante devolvió 3.400 BTC, alrededor del 85% de lo que había sacado. Se quedó con 598,5 BTC, que presentó como su "recompensa".
6. El giro. El 9 de septiembre el tono cambió. Primero llegó un mensaje de solo dos caracteres: ":(". Luego anunciaron que todo sería en texto plano, y lanzaron un ultimátum: acusaron a Blockstream de haber destinado apenas 1,5 millones de dólares (o quizás nada) a proteger miles de millones en activos, le exigieron pagar un 10% de recompensa con fondos propios de la empresa y advirtieron que, si no, los usuarios cargarían con una pérdida del 15%. También prometieron publicar la llave para descifrar toda la conversación anterior. Ojo: esas cifras sobre el gasto en seguridad son una acusación del atacante, no un dato verificado.
7. La respuesta. Mientras tanto, Blockstream publicó una versión de emergencia de Elements (v23.3.4) que refuerza cómo se identifican las pruebas en la caché. El 10 de septiembre Liquid volvió a producir bloques y a procesar transacciones, aunque las salidas hacia Bitcoin siguen desactivadas mientras se completa la recuperación. Con lo que falta, el L-BTC quedó respaldado aproximadamente en un 85-86%.
El 11 de septiembre, Blockstream cerró la puerta a la negociación: dijo que no pagará, que retener fondos ajenos es robo y no divulgación responsable, y que trabajará con autoridades, exchanges y especialistas forenses para rastrear lo que falta. Su argumento de fondo es interesante: no quiere sentar el precedente de que quienes desarrollan software de código abierto para la comunidad tengan que pagar rescates muy superiores a lo que ganan con él.
Las preguntas que siguen abiertas. Un grupo voluntario de auditores, el Bitcoin Red Team, afirma que había advertido a Blockstream del problema y que sus correos fueron ignorados; Blockstream lo niega. El CEO Adam Back explicó que el fallo nació de una corrección mal aplicada a un problema menor que había sido detectado con ayuda de inteligencia artificial. Y algunos analistas señalan un riesgo clásico del código abierto: cuando un cambio sensible es visible en un repositorio público antes de que todos los nodos lo tengan actualizado, cualquiera atento puede leerlo. Todo esto se aclarará mejor cuando se publiquen los informes finales de ambas partes.
Entonces… ¿fue un hacker de sombrero blanco?
Aquí la comunidad está dividida, y vale la pena escuchar ambos lados.
En el mundo de la seguridad, un sombrero blanco es quien encuentra un fallo y lo reporta en privado antes de explotarlo, para que se arregle sin que nadie pierda nada. Un sombrero negro explota el fallo para beneficio propio. Y entre ambos existe una zona gris cada vez más habitual en cripto: alguien vacía un protocolo, se autodenomina "bueno", devuelve una parte y se queda con otra.
Quienes rechazan la etiqueta de sombrero blanco son muchos y muy respetados. El CTO de Ledger, Charles Guillemet, lo llamó directamente "extorsión pura" y recordó que un investigador honesto habría contactado primero al equipo de seguridad. Otros señalaron que, si el atacante hubiera devuelto el 100%, probablemente habría recibido una recompensa generosa de forma legal y sin conflictos.
Del otro lado, hay quien argumenta que, en un ecosistema donde el alternativo suele ser un atacante que se lleva todo y desaparece, recuperar el 85% en un día no es poca cosa. Y que la acusación de fondo, que proyectos que custodian cientos de millones no invierten lo suficiente en seguridad, merece ser discutida aunque venga de quien viene.
No necesitas elegir un bando para sacar una lección valiosa: cuando no existen reglas claras de antemano, quien encuentra el fallo acaba poniendo las reglas.
Por qué un proyecto de este tamaño necesita un bug bounty (y uno bien pagado)
Un bug bounty es un programa de recompensas por errores: el proyecto publica unas reglas y promete pagar a quien encuentre fallos y los reporte de forma responsable. Es como decirle al mundo: "si encuentras una grieta en mi casa, avísame y te lo agradezco con dinero, en lugar de entrar por ella".
En el caso de Liquid, según la cobertura publicada, no existía un acuerdo formal de recompensa ni un marco pactado de antemano para un incidente así. Sin contrato ni reglas previas, la cifra la fijó el propio atacante: 15% retenido y un 10% adicional exigido. Todo lo que vino después, la tensión, las amenazas, el choque público, es en parte consecuencia de ese vacío.
Ahora, piensa en la otra cara del problema: incluso cuando existen programas, muchos pagan poco en comparación con lo que protegen.
Un buen ejemplo es el acuerdo Safe Harbor de la Security Alliance (SEAL), un marco que muchos protocolos adoptan para autorizar rescates de sombrero blanco durante un ataque en curso. Su recomendación estándar es pagar un 10% de lo recuperado, pero con un tope de 1 millón de dólares. Protocolos grandes como Lido han fijado topes de 2 millones.
Haz la cuenta con Liquid: un 10% de lo que se sacó serían unos 400 BTC, decenas de millones de dólares. Con un tope típico, la recompensa legal sería una fracción pequeñísima del valor del fallo. ¿Qué pasaría si pudieras ganar cientos de veces más explotando un error que reportándolo? Para la mayoría de personas, la ética seguiría pesando más. Pero basta con que una sola persona piense distinto.
A esto se suman las quejas habituales de muchos investigadores de seguridad: programas con topes bajos, discusiones interminables sobre si un fallo era "crítico" o solo "alto", pagos que tardan meses y el riesgo legal de meterse a investigar sistemas ajenos. Por eso han surgido iniciativas como fondos de defensa legal para investigadores y los propios acuerdos de safe harbor, que buscan dar certeza a ambos lados.
Dicho esto, sería injusto presentar el bug bounty como un escudo mágico. Hasta el propio atacante reconoció que ni siquiera las empresas con programas de recompensa pueden garantizar seguridad total. Y el argumento de Blockstream también tiene peso: si se normaliza pagar rescates enormes, se premia al que explota en vez de al que reporta. El equilibrio sano parece estar en reglas públicas, pactadas antes del problema, con recompensas proporcionales al valor en riesgo.
Beneficios reales que esta historia te deja para tu día a día
Puede parecer una historia lejana, de grandes cifras y siglas técnicas. Pero en realidad te regala varias ideas prácticas.
La primera: entender en quién confías te da poder. Quienes tenían L-BTC dependían de una federación, de un software y de un operador de retiros. No es algo malo en sí; es un intercambio: ganas velocidad y privacidad a cambio de confiar en ese grupo. Saberlo te permite decidir cuánto dejar ahí.
La segunda: tu bitcoin en autocustodia, en la cadena principal, nunca estuvo en riesgo. El fallo afectó a Liquid, no a Bitcoin. Si guardas tus ahorros de largo plazo con tus propias llaves, este tipo de incidentes no te tocan directamente.
La tercera: la transparencia pública es una aliada. Toda la historia, desde el retiro hasta cada mensaje del atacante, quedó registrada y visible para cualquiera con un explorador de bloques. Tú mismo podías seguir en tiempo real cuánto había en la reserva y cuánto se devolvía.
La cuarta: la privacidad y la verificación van de la mano. Ocultar montos es una herramienta preciosa para tu libertad financiera, pero exige que las pruebas matemáticas que la sostienen se revisen con muchísimo cuidado. Valorar la privacidad también significa valorar a quienes la auditan.
Una comparación amable con el sistema tradicional
Los bancos y las aseguradoras también sufren ataques informáticos, y a veces graves. La diferencia está en cómo se vive el incidente.
En el sistema tradicional, normalmente te enteras por un comunicado oficial, la investigación ocurre a puerta cerrada y, en muchos países, un seguro de depósitos protege tu dinero hasta cierto límite. Es un modelo que da tranquilidad a mucha gente, y tiene sentido que así sea.
En redes como Liquid, el modelo es otro: cada movimiento es público y verificable, la negociación se pudo seguir casi en directo y cualquiera puede auditar las reservas. A cambio, no suele haber un seguro automático y la responsabilidad se reparte entre varios actores.
Ninguno de los dos modelos es perfecto. La idea no es sustituir uno por otro, sino que conozcas ambas opciones y elijas con información, quizás combinándolas según lo que valores más en cada momento: comodidad, protección institucional, privacidad o control directo.
Ejemplos prácticos y herramientas fáciles de entender
Si te interesa usar herramientas cripto para ganar privacidad e independencia, siempre como una opción y no como una obligación, estas son algunas preguntas sencillas que puedes hacerte antes de confiar tus fondos a un puente, una sidechain o cualquier plataforma:
- ¿Quién custodia realmente los fondos? ¿Una sola empresa, una federación con multifirma, un contrato automático? Cada modelo tiene riesgos distintos.
- ¿Tiene un bug bounty público y cuánto paga? Busca su página de seguridad o plataformas como Immunefi o HackerOne. Un tope ridículamente bajo frente a lo que custodia es una señal para pensarlo dos veces.
- ¿Ha adoptado un acuerdo tipo Safe Harbor? Indica que pensó de antemano qué hacer si alguien descubre un fallo en pleno ataque.
- ¿Puedes verificar sus reservas tú mismo? En Liquid, por ejemplo, la dirección de la federación es pública y se puede consultar en exploradores como mempool.space o liquid.network.
- ¿Tiene límites o "frenos de emergencia"? Topes de retiro por tamaño o velocidad habrían reducido mucho el daño en este caso, como reconoció SideSwap.
- ¿Publica informes cuando algo sale mal? Un proyecto que explica sus errores con honestidad suele aprender de ellos.
Y algunos hábitos que te protegen, uses lo que uses:
- Autocustodia para lo que no necesitas mover: una billetera de hardware donde tú controlas las llaves es la base de la soberanía digital.
- En capas rápidas o privadas, solo lo que vas a usar: piensa en ellas como la cartera del día a día, no como la caja fuerte.
- Desconfía de los "rescates" y "actualizaciones urgentes": tras el ataque aparecieron estafadores haciéndose pasar por Liquid y Blockstream. La empresa recordó que nunca te pedirá tu frase semilla ni tu PIN, nunca te pedirá enviar fondos y nunca te mandará enlaces para actualizar software. Esa regla vale para cualquier proyecto.
- Informa desde canales oficiales: en momentos de crisis, los rumores viajan más rápido que los datos.
Reflexiones para pensar: ¿y si…?
¿Y si cada proyecto que custodia cientos de millones publicara cuánto invierte en auditorías y en recompensas, igual que publica sus reservas?
¿Y si las recompensas por fallos crecieran en proporción al valor que protegen, en lugar de tener topes fijos pensados para otra escala?
¿Y si el atacante hubiera devuelto el 100% desde el principio? ¿Hoy estaríamos hablando de un héroe con una recompensa récord en lugar de un posible delito?
¿Y si la misma inteligencia artificial que ayuda a encontrar errores menores también está ayudando a otros a encontrar los grandes? ¿Estamos preparados para esa carrera?
¿Y si tu privacidad financiera dependiera de una prueba matemática que casi nadie revisa? ¿No valdría la pena que más personas, y más recursos, se dedicaran a revisarla?
Conclusión: la soberanía también es saber hacer preguntas
La historia del hacker de Liquid todavía no ha terminado. Faltan 598,5 BTC por aparecer, faltan los informes técnicos finales y falta ver si alguna autoridad actúa. Pero ya nos deja algo claro: la tecnología que te da más privacidad y más control es valiosísima, y precisamente por eso merece una seguridad a su altura, con reglas claras y personas bien incentivadas para cuidarla.
La soberanía digital no consiste en desconfiar de todo ni en abandonar lo que ya usas. Consiste en entender en quién confías, por qué y cuánto. Y en tener el derecho, y las herramientas, para decidirlo tú.
Ahora te toca a ti: ¿crees que fue un sombrero blanco, gris o negro? ¿Pagarías tú ese 10% para proteger a los usuarios, o harías lo mismo que Blockstream? ¿Revisas si una plataforma tiene bug bounty antes de usarla? Me encantará leer cómo lo ves.
— Explorando juntos la soberanía digital.
