El atacante de Liquid Network cruzó al robo: CEO de Immunefi

El CEO de Immunefi, Mitchell Amador, ha afirmado que los atacantes de Liquid Network perdieron cualquier derecho a ser considerados "white-hat" al retener 598.5 BTC después de devolver 3,400 BTC de los aproximadamente 4,000 BTC explotados.

• Aproximadamente 598.5 BTC permanece con los atacantes después de que devolvieron 3,400 BTC.
• Amador dijo que la divulgación coordinada termina cuando un investigador establece los términos de rescate sin aprobación previa.
• Los protocolos deben establecer reglas de rescate y límites de recompensas antes de que ocurra una explotación.
• El CEO de Immunefi defendió la convención de recompensas del 10% cuando los equipos la aprueban con antelación.

El fundador y CEO de Immunefi, Mitchell Amador, dijo a crypto.news que mover activos de los usuarios sin permiso no puede considerarse un rescate cuando el investigador posteriormente retiene parte de los fondos o establece términos de pago.

"La divulgación coordinada termina en el momento en que estableces los términos tú mismo", dijo Amador. "El dinero nunca fue tuyo para salvar, así que moverlo no es un rescate."

Sus comentarios abordan la disputa dejada por el incidente de Liquid Network, en el que actores no identificados retiraron aproximadamente 4,000 BTC, valorados en alrededor de $320 millones en ese momento, antes de describirse a sí mismos como "whitehats". Devolvieron 3,400 BTC después de que Blockstream parcheara los nodos de puente afectados, pero retuvieron 598.5 BTC.

Blockstream ha rechazado la demanda del grupo de una recompensa del 10% y ha dicho que no pagará por el regreso del Bitcoin restante. La compañía también rechazó la afirmación de los atacantes de que la operación equivalía a una divulgación responsable.

Los atacantes de Liquid Network no podían establecer sus propios términos

Amador dijo que un investigador de seguridad debe utilizar canales de divulgación privada, preferiblemente a través de un programa de recompensas por errores definido, en lugar de tomar activos y negociar una recompensa después.

"Mantén un dólar de fondos de usuarios, y es robo, sea cual sea la intención al principio. El camino para un investigador es la divulgación privada, idealmente dentro de un programa bien definido."

La distinción se basa en la autorización más que en el motivo declarado del investigador. Según la opinión de Amador, encontrar una vulnerabilidad real no le da a alguien el derecho a mover activos de usuarios, retenerlos como garantía o decidir qué compensación se debe.

Blockstream adoptó una posición similar en su respuesta del 11 de septiembre. Como informó anteriormente crypto.news, la compañía dijo que tomar activos sin permiso y negarse a devolverlos constituía robo en lugar de trabajo de "whitehat".

La compañía dijo que sus discusiones anteriores con los actores estaban destinadas a recuperar fondos de usuarios y proteger a la comunidad de Bitcoin. Según Blockstream, participar en esas conversaciones no significaba que hubiera aceptado ni el retiro ni la posterior demanda de recompensa.

Una revisión técnica de la explotación encontró que una colisión de clave de caché en la lógica de verificación de transacciones confidenciales permitió a los actores crear L-BTC no respaldados. Luego utilizaron el servicio de peg-out de SideSwap para obtener Bitcoin real de la reserva de la federación.

Las claves de la federación no fueron comprometidas, según Blockstream. El incidente involucró en cambio la lógica de verificación en la base de código de Elements, mientras que los nodos de la federación estaban ejecutando una versión que no contenía la corrección relevante.

Los términos de rescate deben existir antes de una explotación

En lugar de negociar bajo presión después de que se hayan movido los fondos, Amador dijo que los protocolos serios deben decidir sus condiciones de rescate antes de que ocurra una emergencia.

"Sí, los términos de rescate deben existir antes de una explotación", dijo. "Todos los protocolos serios deben establecer estos de antemano."

Las reglas predeterminadas pueden definir qué sistemas pueden probar los investigadores, cómo deben divulgar una vulnerabilidad y qué acciones pueden tomar durante un incidente activo. También pueden establecer el máximo de recompensa, las condiciones de pago y las protecciones legales disponibles para los investigadores que permanezcan dentro del alcance aprobado.

Immunefi desarrolló el marco Whitehat Safe Harbor para establecer tales condiciones antes de que un protocolo enfrente un ataque. Amador, quien ayudó a dar forma al marco y ha participado en equipos de respuesta a exploits en vivo, comparó la acción de emergencia con salvar una casa de un incendio: la necesidad de ayuda no autoriza cada posible método de rescate.

Los acuerdos anticipados también brindan a los equipos de protocolo una base para distinguir la intervención aprobada de la coerción. Sin términos previos, un actor que controla los fondos de los usuarios puede exigir un pago mientras el proyecto enfrenta pérdidas, interrupciones en el servicio y presión de los tenedores de tokens.

Los actores de Liquid inicialmente se comunicaron a través de mensajes colocados en transacciones de Bitcoin y le dijeron a Blockstream que reparara la falla antes de que devolvieran los fondos. Después de que Blockstream confirmó que los nodos de puente afectados habían sido reparados, el grupo envió 3,400 BTC de vuelta a la billetera de la federación.

No había ningún acuerdo públicamente divulgado que permitiera al grupo retener los 598.5 BTC restantes. La cantidad también excede el 10% de los aproximadamente 4,000 BTC involucrados, aunque la demanda reportada se centró en una recompensa del 10%.

Mientras rechazaba el intento de los actores de Liquid de imponer sus propios términos, Amador defendió la práctica informal de la industria cripto de ofrecer hasta el 10% de los fondos en riesgo como una recompensa para whitehats.

Sin un punto de referencia común, dijo, cada acuerdo tendría que negociarse desde el principio, dando a un atacante más poder durante un incidente activo. Un porcentaje definido brinda a los investigadores una ruta de pago legal mientras permite a un protocolo recuperar la mayor parte de los activos expuestos.

"El diez por ciento de un exploit de $100M son $10M ganados legalmente, sin que nadie te persiga después," dijo Amador. "La alternativa para ellos es mover nueve cifras en la cadena mientras cada firma de forense observa."

La cifra del 10% ha aparecido en varias ofertas de recuperación, pero los proyectos generalmente establecen los términos ellos mismos. En agosto, los partidarios de BTCPay Server respaldaron una recompensa igual al 10% de los fondos recuperados después de que los atacantes obtuvieron las credenciales de administrador de LND macaroon. El pago propuesto se limitó a 3 BTC si se devolvían todos los activos robados.

Cetus Protocol siguió una fórmula diferente después de su exploit en mayo de 2025. Una falla en su lógica de creador de mercado automatizado causó pérdidas de más de $223 millones, mientras que la Fundación Sui coordinó con los validadores para congelar alrededor de $163 millones. Cetus luego anunció una recompensa de $5 millones por información que condujera a la identificación del atacante, según su revisión posterior al exploit.

Amador dijo que la recompensa debería alcanzar generalmente hasta el 10% de los fondos en riesgo, mientras que sigue sujeta a un límite que el protocolo puede permitirse. Establecer la cantidad demasiado baja podría hacer que el robo sea más atractivo que la divulgación, dijo, mientras que un pago excesivo podría dejar al proyecto rescatado incapaz de continuar operando.

"Si lo pones demasiado alto, el pago puede matar el protocolo que acabas de salvar, lo que no ayuda a nadie," dijo.

Los proyectos aún pueden pagar por encima de su límite declarado cuando un informe justifica una recompensa mayor, agregó Amador. Bajo su modelo propuesto, el protocolo retiene el control sobre esa decisión en lugar de permitir que un investigador establezca la tarifa después de tomar posesión de los activos de los usuarios.

Las acusaciones en EE. UU. muestran el riesgo de exploits no autorizados

Para los investigadores con sede en EE. UU., devolver fondos u ofrecer negociar no necesariamente previene cargos criminales cuando el acceso original no fue autorizado.

En diciembre de 2023, el exingeniero de seguridad Shakeeb Ahmed se declaró culpable de fraude informático después de explotar dos intercambios descentralizados y obtener más de $12 millones. Según el Departamento de Justicia de EE. UU., Ahmed negoció con una plataforma y propuso devolver los fondos robados excepto por $1.5 millones si el intercambio acordaba no contactar a las fuerzas del orden.

Los fiscales federales dijeron que Ahmed luego aceptó renunciar a más de 12,3 millones de dólares, incluidos aproximadamente 5,6 millones de dólares en criptomonedas obtenidas fraudulentamente. En abril de 2024, un juez federal lo condenó a tres años de prisión y ordenó la confiscación de los activos robados.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.