Blockstream Liquid Network 遭駭失約4,000 BTC　涉資約3.2億美元

Blockstream 旗下比特幣側鏈 Liquid Network 於9月6日遭黑客利用底層軟件漏洞攻擊，損失約4,000枚比特幣（BTC），市值約3.2億美元。事件令聯邦（federation）儲備在短時間內由逾4,200 BTC急跌至約197 BTC，成為今年涉及比特幣相關網絡的重大保安事故之一。 事件其後出現"白帽"轉折：攻擊者自稱白帽黑客。Blockstream 證實已修補漏洞後，對方歸還約3,400 BTC；其餘約598 BTC（約4,700萬美元）則被其保留，作為自訂"賞金"。 漏洞源頭指向 Elements 是次問題出自 Elements 軟件——支撐 Liquid Network 的開源代碼庫。據指，rangeproof（範圍證明）驗證快取（cache）存在缺陷，令攻擊者能鑄造無效的 Liquid Bitcoin（LBTC）代幣，並被系統誤判為有效。 其後，這批偽造LBTC經由 SideSwap 的 Pegout Authorization Key（PAK）流程處理，被轉換為從聯邦錢包提取的真實BTC。Blockstream 強調，事故期間沒有聯邦成員的私鑰被攻破。 Liquid 採用 11-of-15 的聯邦多重簽名（multisig）機制，即15個指定實體中須有11個簽署交易方可執行。多簽本身未失守，問題在於更上游的檢驗邏輯：在交易提交至多簽之前，用於驗證資產真偽的軟件出了致命漏洞。 Blockstream 指出，Liquid 上其他資產未受影響，包括USDT及代幣化實體資產等；漏洞僅與LBTC代幣驗證相關。 停擺與後續影響 儘管部分資金已歸還，Liquid Network 目前仍維持暫停狀態。涉及LBTC的活動在各交易所已全面停用，官方亦未公布恢復正常運作的時間表。Liquid 於2018年推出，主打為機構交易者提供更快、更具私隱的比特幣交易體驗；今次事故對其公信力構成明顯打擊。 聯邦儲備變化亦反映損失規模：攻擊前錢包持有逾4,200 BTC；白帽歸還後約為3,600 BTC，仍較原水平少約598 BTC，與對方保留的"賞金"相符。 事件亦再度引發外界對"聯邦式側鏈"架構的質疑。Liquid 模式把主鏈與側鏈之間的跨鏈橋安全，建基於相對少數實體的信任與運作；一旦相關軟件出現關鍵漏洞，整個設計的價值主張便會被削弱。 對比特幣基建的更廣泛啟示 Elements 代碼庫雖屬開源並可審計，但是次事故顯示其驗證邏輯需要更嚴謹的檢視。rangeproof 驗證中的快取漏洞屬高度技術性且不易察覺的缺陷，一旦被發現便可能造成災難性後果。由於 Elements 並非僅供 Liquid 使用，任何基於該代碼庫建立的項目都需要證明其實作不存在同類問題。 至於白帽定位，結果上確實減低損失，但亦樹立了複雜先例：在未經同意下保留價值約4,700萬美元的比特幣作"賞金"，處於法律灰色地帶。監管機構或執法部門最終如何定性——屬負責任披露，抑或屬部分歸還下的盜竊——或影響日後同類事件的處理方式。