La infraestructura de segunda capa de Bitcoin atravesó uno de sus momentos más críticos en la historia reciente, luego que Liquid Network, la pionera cadena lateral (sidechain) desarrollada sobre la arquitectura de código abierto Elements y coordinada tecnológicamente por la firma Blockstream, se viera obligada a congelar por completo sus operaciones tras detectar la extracción masiva de aproximadamente 4.000 bitcoins (BTC) de la billetera de su Federación.
We are aware of a security incident on @Liquid_BTC. Purported white-hat hackers have withdrawn ~4,000 BTC (~$320 million) from the Liquid Federation wallet. The @Blockstream team is working on contacting them on-chain with a signed message.
What we know so far is that the funds…
— Liquid Network 🌊 (@Liquid_BTC) September 6, 2026
El monto, valorado en unos 320 millones de dólares, representaba cerca del 95% de las reservas totales que respaldan la paridad uno a uno del token L-BTC en la red. El incidente, registrado el domingo, reactivó de inmediato las alarmas en el ecosistema cripto global.
Sin embargo, lo que inicialmente proyectaba la sombra de un hackeo catastrófico para la industria de los activos digitales derivó en un inusual proceso de negociación pública en la Layer 1 de Bitcoin, culminando en la restitución de 3.400 BTC y la retención no negociada de casi 600 BTC a modo de comisión por parte de los atacantes.
Lanzada en 2018, Liquid Network fue concebida como un protocolo diseñado para ofrecer transacciones rápidas, confidenciales y emisión de activos financieros —como bonos tokenizados, contratos de renta fija y stablecoins— sobre la red Bitcoin.
A diferencia de las soluciones de escalabilidad de Capa 2 como Lightning Network, Liquid opera mediante un modelo de “confianza distribuida” respaldado por una Federación de nodos validadores e instituciones que administran el puente (peg-in y peg-out) entre la Capa 1 y la sidechain.
Re today’s Liquid incident: the ~4,000 BTC peg-out went through SideSwap’s peg-out service on a customer order. As @Liquid_BTC confirmed, our PAK was not compromised. The L-BTC came from an Elements bug, not from any SideSwap system. Peg-in/out paused while Liquid is. Updates… https://t.co/TGUGoVDgA1
— SideSwap (@side_swap) September 6, 2026
La vulnerabilidad explotada no se debió a un compromiso de claves privadas ni a una falla en las firmas criptográficas de la Federación, ya que de acuerdo con las aclaraciones técnicas emitidas por SideSwap —la plataforma de intercambio que procesó la salida de los fondos hacia la Layer 1—, la fisura se originó en un error lógico interno de Elements, el software base de código abierto sobre el cual se ejecuta Liquid.
Esta falla permitió a los atacantes generar de manera anómala tokens L-BTC sin el respaldo correspondiente en bitcoins reales y posteriormente, utilizando la clave de autorización de salida (PAK) de SideSwap en una orden de cliente legítima en apariencia, el sistema procesó la conversión hacia la cadena principal de Bitcoin.
Con esta transacción, se drenó casi por completo la billetera multifirma de la Federación, dejando un remanente de apenas 200 BTC de un total de 4.200 BTC registrados antes de la brecha. Como medida de contención inmediata, Liquid procedió a deshabilitar sus nodos puente, pausando en la práctica la totalidad de la sidechain para evitar el descalce de liquidez.
Los exchanges centralizados (CEX) suspendieron depósitos y retiros en L-BTC. No obstante, la red confirmó que los activos emitidos dentro de la cadena lateral —incluyendo Tether (USD₮), la stablecoin DePix y diversos activos del mundo real (RWAs)— mantuvieron la integridad de sus registros contables, ya que el impacto se circunscribió estrictamente a las reservas de colateral de L-BTC.
Statement on today’s Liquid incident
Today at 14:05 UTC a customer sent 4,000 L-BTC to the SideSwap peg-out service. Our service processed it like any other order: the L-BTC was burned on Liquid with a valid peg-out authorisation, and at 14:28 UTC the Liquid Federation paid…
— SideSwap (@side_swap) September 6, 2026
Apenas se confirmó el movimiento de los fondos, los ejecutores del ataque enviaron un mensaje directo en la cadena de bloques de Bitcoin utilizando el espacio de datos arbitrarios OP_RETURN, identificándose como piratas informáticos de sombrero blanco (white hats), “OP_RETURN we are whitehats. contact us on chain”.
El grupo atacante, solicitó entablar comunicación directa con los desarrolladores para gestionar la devolución de los activos, bajo la condición estricta de que la vulnerabilidad fuera corregida y parcheada en todos los nodos de la red “OP_RETURN sending most back to bc1qdlld6antmv4xug242ed83q7k4rqw50cwfns38szx4qu2f4jwaxxsuhwxxr, is that ok”.
En otro mensaje de hicieron una propuesta de devolver la mayor cantidad de los fondos a través de otro mensaje “OP_RETURN ¿Está bien devolver la mayoría a bc1qdlld6antmv4xug242ed83q7k4rqw50cwfns38szx4qu2f4jwaxxsuhwxxr?” lo que fue bien recibido por Blockstream.
“OP_RETURN Por favor, solucionen primero el error. La cadena está en riesgo con la última confirmación. Asegúrense de que todos los nodos estén parcheados. Luego, les devolveremos el dinero de forma segura tras confirmar la solución…”, escribieron los hackers.
Obviamente, la respuesta de Blockstream no se hizo esperar, ya que de inmediato la empresa dirigió a los atacantes hacia sus canales oficiales de seguridad cibernética e inició un intercambio mediante transacciones firmadas con claves PGP y cargas útiles cifradas.
La cronología de las comunicaciones públicas evidenció momentos de alta tensión operativa: mientras los atacantes solicitaban confirmar la dirección oficial de la Federación a la cual reintegrar la liquidez, Blockstream trabajaba contra reloj para desplegar la actualización de código en la infraestructura global de validadores.
Paralelamente, observadores de la industria y directivos de firmas de seguridad evaluaron con cautela el perfil del grupo, ya que aunque el uso de canales directos como Signal y mensajes cifrados on-chain sugería un comportamiento colaborativo, la magnitud del saldo extraído y la exigencia de coordinar la actualización de software antes de liberar los fondos mantuvieron en suspenso el mercado durante más de veinticuatro horas.
Para la tarde del lunes 7 de septiembre de 2026, la situación alcanzó su punto de inflexión, luego que Blockstream emitiera un mensaje firmado en el bloque 965869 confirmando la resolución técnica, indicando que los nodos puente habían sido parcheados de forma segura y la red se encontraba fuera de riesgo frente al error de Elements.
Minutos después de la notificación, los atacantes ejecutaron como habían ofrecido la transacción de retorno bc49a46d en la cual se devolvió exactamente 3.400 BTC al script de la Federación de Liquid.
Sin embargo, el movimiento incluyó una salida de cambio hacia la dirección de los atacantes por 598,5 BTC (aproximadamente 48 millones de dólares a la cotización actual), equivalente al 15% del total sustraído, que fue retenido unilateralmente como una “recompensa implícita” por la detección del fallo.
La comisión de casi 50 millones de dólares generó un profundo malestar en las filas de Blockstream y la Federación. Registros posteriores en la memoria de transacciones mostraron una serie de mensajes cifrados enviadas por los equipos legales y técnicos de la empresa intentando renegociar el porcentaje.
Tras un intercambio infructuoso, los atacantes respondieron con un único carácter en texto plano que resumió el cierre del choque diplomático: OP_RETURN con un emoji con cara triste (“🙁”) y aunque la recuperación de 3.400 BTC permitió evitar un colapso sistémico en la paridad de Liquid y protegió los depósitos de miles de usuarios, el incidente deja reflexiones complejas para el ecosistema de escalabilidad de Bitcoin.
Porque en primer lugar, el evento demuestra que las estructuras de custodia federada, aun cuando diversifican la confianza entre múltiples actores, siguen estando expuestas a fallas lógicas en la capa de software base, como ya hemos visto en otros desarrollos DeFi recientemente.
La capacidad de un error de código para eludir los controles contables de emisión plantea la necesidad de implementar auditorías más rigurosas sobre Elements y tecnologías afines pero por otro lado, la retención unilateral de 598,5 BTC reabre el debate legal e institucional sobre la delgada línea entre la auditoría ética de seguridad y la extorsión cibernética.
Si bien la comunidad celebró el retorno del 85% de las reservas como un mal menor, la fijación arbitraria de bounties de decenas de millones de dólares sienta un precedente complejo para la resolución de crisis en la infraestructura descentralizada y el ecosistema DeFi en general.
Liquid Network ha iniciado la reactivación paulatina de sus servicios, pero las secuelas operativas y reputacionales del caso continuarán bajo el análisis minucioso del mercado financiero digital.