Blockstream就 Liquid Network 近期安全事件作出最新表态。公司披露称，不会为追回仍由攻击者控制的约 598.5 枚比特币支付赎金，并表示若相关资产未归还，将寻求可用的法律途径继续追偿。

近 600 枚 BTC 仍未归还

这起事件发生在 9 月 6 日，涉及 Blockstream 开发的比特币侧链 Liquid Network。攻击者利用漏洞铸造了约 4,000 枚没有足额 BTC 支撑的 L-BTC，并通过 SideSwap 的 peg-out 基础设施，将其兑换为 Liquid 联邦储备中的真实比特币。

按照设计，Liquid 上流通的每一枚 L-BTC 都应由联邦托管的钱包以 1:1 的 BTC 储备支持。事发时，该联邦钱包约持有 4,200 枚 BTC，这意味着此次攻击一度抽走了约 95% 的储备。按当时价格计算，涉及资金约 3.2 亿美元。

随后，攻击者在 9 月 7 日返还了约 3,400 枚 BTC，约占被转走总量的 85%。但仍有约 598.5 枚 BTC 留在其控制地址中，尚未归还。

公司称不属于白帽行为

Blockstream表示，此次事件不属于负责任披露，也不应被视为白帽行为。公司称，未经授权转走资产并以不归还为条件施压，本质上是盗窃，而不是安全研究。

公司还称，此前曾本着善意与相关方接触，希望推动用户资金返还，但不会为“被盗财产的归还”支付对价。Blockstream认为，如果允许攻击者保留这笔大额资金，将给比特币开源开发者和相关项目留下不良先例。

漏洞已修复，网络恢复出块

在处置层面，Blockstream已发布 Elements v23.3.4，用于修补此次被利用的漏洞。Liquid Network 目前已恢复出块。

曾持续更新事件进展的 Samson Mow 表示，Liquid 交易处理已基本恢复正常。不过，在剩余约 598 枚 BTC 尚未追回前，当前 L-BTC 的储备支持比例仍只有约 85%。

  • 异常铸造规模约 4,000 枚 L-BTC
  • 已返还约 3,400 枚 BTC
  • 尚未追回约 598.5 枚 BTC

补充信息：Blockstream同时强调，比特币交易记录会永久保留在公开区块链上，相关转账不会消失，链上痕迹也会持续存在。公司称，若对方愿意归还剩余资产，事件仍有机会在不进一步升级的情况下收尾。