'Devolved el bitcoin': Blockstream pone punto y aparte tras el hackeo de 4.000 BTC

Quedan casi 4 000 BTC, pero la mayor parte ya ha sido recuperada

Todo el episodio comenzó el 6 de septiembre con algo que ya sonaba bastante extraño: desaparecieron casi 4.000 BTC de las reservas vinculadas a la red Liquid de Blockstream, y los responsables anunciaron inmediatamente en la cadena de bloques de Bitcoin que eran «whitehats». Entonces, las cosas se volvieron aún más extrañas.

El grupo comenzó a comunicarse con Blockstream a través de pequeñas transacciones de bitcoin que incluían mensajes OP_RETURN, convirtiendo de hecho la cadena de bloques en un tablón de anuncios público. Tras una serie de intercambios públicos y cifrados, el grupo devolvió 3.400 BTC.

Pero quedaron pendientes unos 598,5 BTC. Ahí es donde la historia se descarriló.

Una recompensa del 10 % se convierte en un ultimátum

En lugar de limitarse a devolver el resto, el grupo exigió a Blockstream que pagara una recompensa del 10 % con su propio dinero. También advirtió de que rechazar la exigencia podría suponer una pérdida del 15 % para los titulares de Liquid. Cada vez resultaba más difícil calificar esto como una simple divulgación de vulnerabilidades.

Los investigadores de «sombrero blanco» suelen identificar fallos de seguridad, informarlos y negociar una compensación a través de los canales establecidos. En este caso, se retenían casi 600 BTC mientras se exigía el pago. Blockstream ha dejado ahora claro que ve esta distinción de forma muy diferente.

«Blockstream no pagará un rescate a cambio de la devolución de los fondos robados», subrayó la empresa el 11 de septiembre en X. «Apropiarse de activos sin autorización y retener su devolución es un delito, no una divulgación responsable».

Blockstream afirma que los titulares de bitcoins no pagarán la factura

La empresa también rechazó la idea de que los usuarios de Liquid debieran asumir las pérdidas para satisfacer la demanda. «El bitcoin es dinero duro y no se puede acuñar sin costes; el bitcoin no impone recortes a los usuarios para pagar un rescate», escribió Blockstream. Esa frase llega al meollo financiero de la disputa. Alguien tiene que rendir cuentas, en última instancia, por los casi 600 BTC que no se han devuelto. La postura de Blockstream es que los usuarios no deberían financiar, en la práctica, un pago a quienes se los llevaron. La empresa afirmó que sus negociaciones anteriores se llevaron a cabo de buena fe para recuperar los fondos de los usuarios, no porque aceptara las condiciones de los hackers.

Las advertencias de seguridad añaden otro giro

Hay otra complicación que se cierne sobre el asunto. Calle, codirector del Bitcoin Red Team, ha afirmado que su grupo advirtió a Blockstream sobre la vulnerabilidad antes de que se produjera el ataque, y ha bromeado diciendo que, al parecer, «ignorar un correo electrónico del equipo rojo ha costado 600 BTC».

El exdirector de seguridad de Blockstream, Samson Mow, ha rebatido estas afirmaciones, asegurando que no se ignoró ningún correo electrónico. Las versiones contradictorias aún no se han conciliado por completo, y el Bitcoin Red Team ha declarado que tiene la intención de publicar su propia versión del proceso de divulgación una vez que Blockstream publique un análisis retrospectivo.

Así pues, Blockstream se enfrenta ahora a dos controversias a la vez: lo que ocurrió antes de que se aprovechara la vulnerabilidad y lo que debería pasar con los bitcoins a partir de ahora. Más allá de la pérdida de casi 600 BTC, la empresa también se ha visto obligada a lidiar con el daño a su reputación derivado de todo el episodio, que se ha convertido rápidamente en un desastre de relaciones públicas.

«Si escribes código de mala calidad, tendrás problemas graves», escribió un usuario de X en respuesta a la última exigencia de Blockstream. «Bitcoin está diseñado para funcionar sin permisos. No vayas a lloriquear a las autoridades ahora que la has fastidiado con un código defectuoso», añadió la cuenta. «Blockstream se está disparando en el pie al traicionar al tipo que les dio 3.400 BTC», escribió otra cuenta de X. La persona añadió:

«La próxima vez que Liquid se quede sin fondos, se quedarán con el 100 % de las monedas. Dejad de ser tan tacaños y asumid la responsabilidad de vuestra cagada».

Blockstream amenaza con una caza mucho mayor

El último mensaje de Blockstream deja poco lugar a la ambigüedad sobre la segunda cuestión.

Si no se devuelven los fondos, la empresa afirma que tiene previsto colaborar con las fuerzas del orden, las plataformas de intercambio, los proveedores de servicios, los especialistas forenses y otros para rastrear los bitcoins e identificar a los responsables. La empresa también señaló una característica incómoda para cualquiera que intente hacer desaparecer casi 600 BTC: las transacciones de bitcoin dejan un rastro público permanente.

Para un grupo que en un principio se autodenominaba «white hat», la situación ha ido mucho más allá de un simple informe de error. Quedaban casi 4.000 BTC. La mayoría regresó. Cientos de bitcoins no lo hicieron. Y la respuesta de Blockstream a la demanda restante se resume ahora en cuatro palabras:

«Devolved los bitcoins».