一日之後，3,400 枚比特幣回到聯邦地址
Blockstream 營運的比特幣側鏈 Liquid 上周日（6 日）晚上被人以軟件漏洞提走近 4,000 枚比特幣，資金在一日之後回來了大部分。周一（7 日），提走資金的一方在比特幣第 965,950 個區塊廣播一筆交易，把 3,400 枚比特幣送回聯邦地址，按當時價格約值 2.68 億美元，相當於流出總額的約 85%。
同一筆交易還有另一個出口。餘下的 598.49955894 枚比特幣沒有跟着回去，而是送到對方自己控制的地址，約值 4,700 萬美元，佔提走總額約 15%。
事發經過：一個本來不應存在的 L-BTC
翻查資料，事件始於周日（6 日）晚上 10 時零 5 分（香港時間）。提走資金的一方利用 Liquid 開源軟件 Elements 的漏洞，造出一批本來不應存在的 L-BTC，再經交易平台 SideSwap 的提幣授權密鑰（Peg-out Authorization Key）把這批代幣換成真正的比特幣，聯邦在 23 分鐘後照單付款。
SideSwap 其後表示，該公司自己的系統與授權密鑰均沒有被入侵，問題出在聯邦一方接受了無效的代幣。Blockstream 當日宣布暫停 Liquid，至今仍是官方最後一份正式聲明。
雙方用比特幣交易互相傳話
雙方沒有用電郵，而是把訊息寫進比特幣交易的 OP_RETURN 欄位，一句一筆交易地談。提走資金的一方先發出「contact us on chain」，Blockstream 以一個可驗證的地址回覆保安聯絡方法，並附上以其公開 PGP 密鑰簽署的內容。
對方其後要求 Blockstream 先修補漏洞，訊息寫明「Please fix the bug first. The chain is under risk at latest commit right now」，並附上加密的漏洞細節。當對方在第 965,869 個區塊問，把「大部分」送回聯邦腳本是否可以，Blockstream 以簽署訊息回覆「Yes, thank you.」。數小時後，Blockstream 再確認「Bridge nodes are patched, safe to return the funds」，3,400 枚比特幣隨即上路。
資金回來之後，Blockstream 在數小時內連發四則加密訊息。對方的回覆只有一個符號：一個苦笑的表情。外界普遍解讀為，減少對方自留金額的談判並不順利。
那 598.5 枚是甚麼，至今沒有人說得出
Blockstream 與 Liquid 都沒有公開形容那 598.5 枚比特幣是賞金，亦沒有披露任何協議內容。提走資金的一方在交易訊息中自稱「whitehats」，但這個說法目前只有他們自己講過。
硬件錢包公司 Ledger 技術總監 Charles Guillemet 直言質疑這個定性。他在 X 上表示，「白帽」手上仍然握着約 600 枚比特幣，又指若果這筆錢是靠加密訊息談出來的報酬，「看起來更像勒索，而不是白帽入侵」。
按一般保安漏洞賞金的做法，金額由項目方事先公布，或事後由項目方主動宣布。這次兩者皆無：外界能看到的，只有一筆把 3,998.5 枚比特幣切成兩份的交易。
網絡未重開，用戶暫時不要存款
至於 Liquid 何時恢復，暫時未有時間表。JAN3 行政總裁、前 Blockstream 高層 Samson Mow 表示，善後工作仍在進行，暫停期間出現的鏈分裂需要處理，並促用戶在確認重啟之前，不要向 Liquid 的存款地址發送比特幣。
Blockstream 指已部署更新版本軟件，聯邦成員正準備協調重啟。截至周二（8 日），該公司的狀態頁仍然把事件列為進行中，公共橋接節點顯示為停止服務，提幣功能亦一併暫停。在重啟之前，聯邦還需要證明流通中的 L-BTC 有足額比特幣支持。
No comments yet
提交留言即表示你已閱讀我們的私隱政策。