前言

本文摘要了 Blockstream 對近期 Liquid Network 被利用事件的回應，並說明其拒絕支付贖金以換回遺失比特幣的理由。

在 Liquid 側鏈發生重大安全事件，導致大量比特幣被未經授權移走後，Blockstream 公開宣稱不會支付贖金以取回剩餘資金。公司將該事件定性為刑事竊盜，而非所謂的負責任揭露，並強調會與執法機關、交易所及鑑識專家合作追蹤並回收資產。本文說明了事件發生的經過、目前已知的技術細節、據報攻擊者提出的談判與要求，以及 Blockstream 對於此類事件未來處理原則的說明。

Lazy bag

重點摘要： Blockstream 拒絕支付贖金，約 598.5 BTC 在 Liquid 被入侵後仍被持有未歸還。攻擊者歸還了大部分資金（約 3,400 BTC），但仍有近 4,700 萬美元未歸還。Blockstream 稱此行為為 盜竊，已修補該漏洞，在採取預防措施後恢復網路運作，並承諾採取法律與鑑識手段，而非以支付巨額贖金作為先例。

主體內容

Liquid Network 是一個為交易所與其他參與者提供更快結算與機密交易的比特幣側鏈，在一次事件中，攻擊者利用與橋接節點上範圍證明驗證快取相關的缺陷。透過該漏洞，攻擊者能鑄造未完全由預備比特幣支持的 L-BTC，然後使用聯盟成員的 SideSwap 功能（該功能掌握 peg-out 授權金鑰）將鑄造的代幣兌換為預備 BTC。

該次入侵在一次事件中抽乾了網路大約 4,000 BTC。漏洞公開後不久，攻擊者將約 3,400 BTC 歸還至網路控制的一個地址，仍有約 598.5 BTC（事發時約值 4,700 萬美元）未被移動。Blockstream 在其公開聲明與技術回應更新中確認了這些數字。

Blockstream 迅速修補受影響的橋接節點，在約十小時內部署了更新的 Elements 版本（v23.3.4），並在次日恢復區塊生產與交易處理。儘管恢復了正常網路運作，peg-out 作為預防措施仍被停用以持續進行回收工作。公司亦提醒節點運營者注意有詐騙者試圖模仿合法更新網站，建議採取謹慎並驗證更新來源。

在事發初期，有報導指出 Liquid 營運方與實施攻擊的個體之間曾有談判。媒體與鏈上訊息顯示攻擊者提出補償要求，將其行為描述為對 Blockstream 所謂不足安全投資的回應。在一筆廣播交易中，攻擊者宣稱 Blockstream 分配給資產保護的預算相對較少，並要求分得資金或一筆巨額「漏洞獎金」。

Blockstream 拒絕了這些要求，並公開明確表示：不會為了取回被盜資金而支付贖金。公司主張，順從勒索會造成危險先例，實質上會迫使開源專案及其貢獻者承擔遠超其在軟體中的經濟利害關係的損失。Blockstream 強調，未經授權取得資產並拒絕歸還是刑事行為——不是合法的負責任揭露或白帽行為——應以此方式處理。

Blockstream 表示不會以支付贖金為手段，而是會透過與執法機關、交易所與鑑識專家的合作來追求回收。公司指出，區塊鏈交易會留下持久的鏈上證據，追蹤資金流向可能帶來回收或促成執法行動。與此同時，技術團隊已修復所識別的快取 bug 並釋出更新以防止相同攻擊向量再次發生。

Blockstream 亦拒絕將損失加諸使用者以彌補缺口的想法。公司將比特幣定義為稀缺且生產成本高的資產，表示不會對持有者實施任何減記以資助贖金支付。此立場根植於一個原則：開發團隊與開源維護者不應被迫在面對刑事利用時替利害關係人承擔全部損失——尤其是當被要求的金額遠超出專案的經濟能力時。

在運作上，Liquid 在緊急修補後恢復了區塊生產與交易處理，但 peg-out 在最終回收階段完成前仍保持暫停。網路運營者被敦促盡速套用官方更新並對網釣或偽造更新網站保持警惕。與此同時，鑑識團隊、交易所與執法機關已參與追蹤剩餘資金，Blockstream 重申若攻擊者不自願歸還，將使用「一切合法途徑」追討被盜比特幣。

總結來說，Liquid 事件突顯了加密貨幣生態系中數項張力：複雜側鏈機制帶來的安全風險、在發現漏洞後的揭露與回應壓力，以及當攻擊者要求支付以歸還資產時所衍生的倫理與實務問題。Blockstream 的公開立場明確——拒絕贖金、優先法律與調查途徑、修補根本漏洞，並避免建立讓犯罪分子透過利用或揭露缺陷獲取大筆贖金的先例。

公司的訊息以直接呼籲結尾：歸還比特幣。並強調交易記錄長存，持續與調查人員合作將有助於回收工作。

關鍵見解表