Blockstream se niega a pagar rescate por 47 millones en bitcoin robados

Devolver el 85% de lo robado y pedir el resto como recompensa es, para quien lo pide, una negociación. Para quien lo perdió, es un rescate.

Qué pasó

El domingo 6 de septiembre de 2026, alguien extrajo cerca de 4.000 bitcoin —unos USD 320 millones ese día— de la reserva que respalda Liquid Network, una red lateral (sidechain: una red aparte conectada a Bitcoin, con sus propios activos) operada por Blockstream junto a un grupo de instituciones asociadas, la llamada federación. La falla estaba en cómo los nodos verificaban ciertas pruebas criptográficas de las transacciones: eso permitió crear L-BTC, la versión de bitcoin que circula dentro de Liquid, sin respaldo real, y cambiarlo por bitcoin de la reserva en el exchange SideSwap, según el reporte de incidente citado por Decrypt y The Block (ambos consultados el 11-09-2026).

Para el martes 8, con la falla ya corregida por Blockstream, el atacante había devuelto 3.400 BTC —unos USD 270 millones, cerca del 85% de lo sustraído—, según CoinDesk. El miércoles 9 Blockstream publicó una actualización de emergencia del software Elements, y el jueves 10 la red retomó la producción de bloques, aunque sin transacciones ni retiros habilitados.

Quedan sin devolver 598,5 BTC, unos USD 47 millones. El viernes 11 de septiembre, Blockstream declaró públicamente que no pagará ningún rescate por ellos.

El precedente: en 2022, otro atacante se quedó con exactamente 47 millones de dólares

En octubre de 2022, en Mango Markets —una plataforma de préstamos sobre la red Solana—, Avraham Eisenberg manipuló el precio del token de la plataforma para vaciar cerca de USD 110 millones. Días después devolvió USD 67 millones, y el 17 de octubre de 2022 los propios usuarios de Mango, en una votación de gobernanza, aprobaron dejarlo quedarse con el resto: USD 47 millones, a cambio de que la plataforma no lo persiguiera penalmente.

La coincidencia en la cifra es eso, una coincidencia. Lo que no lo es, es el dilema: negociar con quien tiene el dinero, o sostener que fue un robo y no ceder nada.

¿Por qué Liquid no puede votar lo mismo que votó Mango?

En Mango decidió una asamblea de tenedores del token de gobernanza, sin ninguna empresa de por medio que pudiera vetarla. En Liquid no existe esa asamblea: la reserva la controla una federación de firmantes ligada a Blockstream, y es la empresa —no una votación abierta— quien decide qué se hace con los fondos.

Las proporciones también difieren. El atacante de Liquid ya devolvió el 85% y pide el 10% del total original, unos USD 32 millones, como “recompensa por reportar la falla” (bug bounty: el pago que algunas empresas ofrecen a quien encuentra un error de seguridad antes de explotarlo, no después de hacerlo). El de Mango se quedó con cerca del 40% de lo que sacó.

¿Es una revelación responsable o un robo?

El atacante se comunicó mediante un mensaje incrustado en una transacción de Bitcoin (OP_RETURN, un espacio del protocolo pensado para adjuntar texto). Ahí se presenta como un hacker de sombrero blanco (white hat: alguien que expone fallas de seguridad para ayudar, no para dañar) que merece una recompensa, y argumenta que Blockstream destinó “solo 1,5 millones de dólares, quizás ni eso” a asegurar 5.000 millones en activos, algo que llamó “negligencia flagrante”.

Blockstream usa la misma palabra que el atacante evita: “Tomar activos sin autorización y retener su devolución es un delito, no una divulgación responsable. No es actividad de sombrero blanco. Es robo”, declaró la empresa el 11 de septiembre. Sobre la cifra de 1,5 millones que el atacante le atribuye en seguridad, Blockstream no se ha pronunciado.

Lo que el caso Mango también enseña, y conviene no omitir

La comparación tiene un final incómodo para quien asuma que negarse a negociar sale mejor. Eisenberg fue arrestado en diciembre de 2022 y un jurado lo condenó en abril de 2024 por fraude y manipulación de mercado. Pero en mayo de 2025 un juez federal anuló esas condenas: consideró que operar dentro de las reglas literales del protocolo, por explotables que fueran, no configuraba los delitos imputados. Ni la negociación ni la vía judicial terminaron castigando al atacante de Mango. Nada garantiza que a Blockstream le vaya mejor negándose de lo que a Mango le fue negociando.

Qué significa para quien mira desde afuera

Para alguien que solo compra bitcoin en un exchange, esto no cambia nada de un día para otro: Liquid es una red aparte, usada sobre todo entre instituciones y plataformas, no la red principal de Bitcoin. Pero es un recordatorio de un riesgo que rara vez se nombra: todo puente o red que junta fondos de muchos usuarios en una sola billetera controlada por pocas partes —una federación, un grupo de firmantes, un exchange— concentra ahí un riesgo que la red principal de Bitcoin, al no depender de un solo dueño, evita. Confiar activos a ese tipo de arreglo depende de qué tan bien esté construido ese arreglo, no de qué tan sólido sea Bitcoin.

Lo que todavía no sabemos

La identidad de quienes ejecutaron el ataque no está confirmada. Blockstream no ha dicho si los 598,5 BTC pendientes se recuperarán algún día o si se asumirán como pérdida permanente para quienes tienen L-BTC, ni ha respondido a la acusación puntual de que gastó apenas USD 1,5 millones en seguridad para proteger USD 5.000 millones en activos. Y al 11 de septiembre de 2026 ninguna autoridad, de ningún país, ha anunciado que investiga el caso: la única presión sobre el atacante, por ahora, es que Blockstream no piensa negociar.