Blockstream拒绝为从Liquid网络被盗的比特币支付赎金

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

关键事实

Blockstream 表示，不会为从 Liquid 网络被盗走的比特币支付赎金，并拒绝了一项要求其自行填补资金缺口的要求。在攻击者于 9 月 7 日归还 3,400 枚 BTC 后，仍有约 598.5 枚 BTC（价值约 4,700 万美元）尚未追回。

Liquid 网络已于 9 月 10 日恢复区块生产和交易，但作为预防措施，锚定提现（peg-outs）功能仍处于禁用状态。

拒绝支付赎金

Blockstream 周五宣布，不会为从 Liquid 网络被盗走的比特币（BTC）支付赎金，拒绝了攻击者要求其覆盖剩余 15% 资金的请求。这一拒绝使得在五天前侧链被清空后，仍有价值约 4,700 万美元的 598.5 枚 BTC 处于未追回状态。

Blockstream 在声明中指出：“未经授权获取资产并扣留其归还是犯罪行为，而非负责任的安全披露。”“这不是白帽行为，这是盗窃。”该公司表示，不会接受一种先例，即开源开发者面临“远超其经济参与的勒索”。

攻击者的威胁

攻击者曾通过链上消息告知 Blockstream，应使用自有资金将缺失的 15% 作为漏洞赏金支付。“你必须用自己的钱支付 15% 作为漏洞赏金，否则你将导致所有持有者遭受 15% 的损失。”他们在消息中写道。

Liquid 网络漏洞原理

Liquid 是由交易所和公司组成的联盟运营的比特币侧链，在该侧链中，BTC 被锁定并以 LBTC 形式重新发行，以实现更快的结算。Liquid 在事件报告中指出，9 月 6 日，开源 Elements 软件中 Liquid 节点缓存范围证明验证的方式存在缺陷，导致大约 4,000 枚 LBTC 在没有相应比特币背书的情况下被创建。

这些无背书的代币通过 SideSwap（一个持有锚定提现授权密钥的联盟成员）转换为比特币，联盟随后按授权释放了资金。Liquid 表示，没有密钥被泄露，但在网络暂停之前，储备金已从约 4,205 枚 BTC 减少至 197 枚 BTC。

SideSwap 在一份声明中表示，其授权密钥在线保存，且 payouts（支付流程）自动转发，该管道未应用任何大小或速度限制。

交易恢复，锚定提现仍禁用

Blockstream 于 9 月 7 日修补了 Liquid 的桥接节点，攻击者同一天向联盟钱包归还了 3,400 枚 BTC。随后发布了紧急 Elements 版本 v23.3.4，经过多轮内部和外部审查。9 月 10 日恢复了区块生产，当晚恢复了交易。

Liquid 表示，作为预防措施，在恢复的最后阶段继续期间，锚定提现功能保持关闭状态，节点运营商已被通知进行升级。

Galaxy 的全公司研究主管 Alex Thorn 在 exploit 发生当天的帖子中将此事件称为“我们新网络现实中的又一波攻势”。