Hackeo de Liquid: casi 4.000 BTC salieron por un fallo de software, no por claves robadas

El hackeo de Liquid demostró que proteger las claves privadas no siempre alcanza para evitar un robo. El 6 de septiembre, casi 4.000 bitcoins abandonaron la reserva de la red Liquid a través de un retiro que el propio sistema aprobó, pese a que las claves privadas usadas para autorizarlo nunca fueron sustraídas. El software validó una operación que, en condiciones normales, jamás debió haber pasado el control.

El caso reabre una discusión incómoda para el sector: la seguridad de los fondos no depende solo de dónde se guardan las claves, sino también del código que decide qué transacciones son válidas. Cuando ese código falla, las claves quedan intactas y el dinero, igual, se va.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Qué es Liquid y por qué importa este hackeo

Liquid es una red construida sobre Bitcoin que permite mover un token respaldado por BTC en una cadena separada, diseñada para transacciones más rápidas y con mayor privacidad. Cada bitcoin que entra a Liquid queda bloqueado en una reserva compartida, custodiada por un conjunto de participantes que firman colectivamente los retiros. La idea es que ningún actor individual pueda vaciar los fondos por su cuenta.

Ese modelo depende de una premisa: que el software solo apruebe retiros legítimos. En el incidente del 6 de septiembre esa premisa se rompió. Según la reconstrucción del ataque, el sistema aceptó una salida de fondos que no cumplía los requisitos que debían protegerla, permitiendo drenar la reserva sin necesidad de comprometer a los firmantes ni robar sus llaves.

Firmas de análisis on-chain siguieron el rastro. De acuerdo con la reconstrucción del ataque de TRM Labs, los atacantes sustrajeron alrededor de 319 millones de dólares en bitcoin de la red Liquid y posteriormente devolvieron cerca del 85% de los fondos. La investigación de Bitquery documentó el movimiento de casi 4.000 BTC y detalles técnicos del retiro.

La lección: proteger las claves no basta

Durante años, el consejo básico de autocustodia se resumió en una frase: guarda bien tus claves privadas y nadie podrá tocar tus fondos. El episodio de Liquid matiza esa idea. El punto débil no estuvo en las llaves, sino en la lógica que las rodea. Un error en la validación equivale, en la práctica, a dejar la puerta abierta aunque la cerradura funcione perfectamente.

Este tipo de riesgo es distinto al del robo tradicional. No hubo phishing, ni malware que capturara frases semilla, ni un descuido del usuario. Falló una capa de infraestructura que la mayoría de los tenedores nunca ve ni controla. Para quien deposita BTC en redes de segunda capa o en protocolos que dependen de firmas colectivas, el mensaje es que el riesgo de código convive con el riesgo de custodia.

El sector ya conoce este patrón en otros frentes. Los fallos en contratos inteligentes, los errores de puentes entre cadenas y las vulnerabilidades en oráculos han provocado algunas de las mayores pérdidas de la industria, sin que las claves de los usuarios estuvieran comprometidas. Liquid suma un caso más a esa lista, esta vez sobre una red anclada directamente a Bitcoin.

Seguros y cobertura: un terreno aún incompleto

La respuesta a estos riesgos ha empezado a apoyarse en seguros especializados. Existen pólizas de cobertura contra delitos con activos digitales y de errores y omisiones tecnológicas, pensadas para cubrir tanto el robo como los fallos de software. Son herramientas incipientes y de alcance limitado frente al tamaño de las pérdidas que puede provocar un solo incidente.

Conviene recordar la diferencia con el sistema bancario tradicional. La FDIC en Estados Unidos protege los depósitos elegibles cuando quiebra un banco asegurado, pero no cubre activos digitales. Plataformas como Coinbase mantienen su propia explicación pública sobre su seguro, que opera bajo condiciones distintas a las de una cuenta bancaria. En cripto, la red de protección todavía se está construyendo.

Qué deja el hackeo de Liquid para los usuarios

El robo no es la única amenaza para quien mantiene criptomonedas. Los ataques físicos y el secuestro también han crecido: recientemente se reportó cómo secuestraron a una familia en Francia para robar cripto, un recordatorio de que los vectores de riesgo se diversifican más allá de lo digital.

Para el usuario promedio, el episodio de Liquid ofrece una lección práctica: evaluar dónde vive realmente el bitcoin y qué software media entre esos fondos y su acceso. Delegar la custodia en una red de segunda capa, un exchange o un protocolo implica confiar en su código, no solo en la propia disciplina para guardar una frase semilla.

La devolución parcial de los fondos alivia el impacto inmediato, pero no borra la advertencia de fondo. Mientras la industria siga construyendo capas de velocidad, privacidad y escalabilidad sobre Bitcoin, la superficie de ataque crecerá con ellas. La seguridad cripto dejó de ser únicamente una cuestión de claves bien guardadas.