23 分鐘之內走了 4000 枚
比特幣側鏈 Liquid Network 周日（6 日）發生保安事故。營運方 Blockstream 披露，香港時間當晚 10 時 05 分，一名「客戶」把 4,000 枚 L-BTC 送入獲授權的交易平台 SideSwap 的贖回服務；23 分鐘後，Liquid 聯邦錢包向該客戶的比特幣地址付出約 3,996 枚 BTC，按當時約 8 萬美元的幣價計算，價值約 3.2 億美元。
香港時間 | 事件 |
|---|---|
9 月 6 日 22:05 | 4,000 枚 L-BTC 送入 SideSwap 贖回服務 |
9 月 6 日 22:28 | 聯邦付出約 3,996 枚 BTC |
9 月 7 日 14:15 | 幣仍留在收款地址，側鏈已暫停 |
事故之後，Liquid 聯邦的比特幣儲備由約 4,200 枚跌至 197 枚，即逾九成五已經離開。
錢不是被偷走，是從正門走出去
Blockstream 指出，這筆錢是經 SideSwap 的贖回授權密鑰（PAK）提走，但該密鑰並未被盜。換言之，資金是沿着正常而且獲授權的贖回路徑離開，問題出在 Elements 這套 Liquid 程式碼本身，而不是有人拿到了鑰匙。
Blockstream 其後暫停橋接節點，網絡不再接受新交易，但側鏈仍然繼續出塊。交易所同時收到通知，暫停 L-BTC 的存入與提取。Liquid 上發行的其他資產，包括 USDT、DePix 及代幣化資產，未受影響。
「先修好漏洞，我們再還大部分」
提走資金的一方以比特幣交易的 OP_RETURN 訊息與 Blockstream 對話。其中一則寫道：「請先修好漏洞。這條鏈目前在最新的 commit 下有風險。」同一則訊息附上以 Blockstream 公開 PGP 密鑰加密的漏洞細節。
另一則訊息寫的是：「把大部分送回 bc1qdll…wxxr，可以嗎」。用字是大部分，不是全部。Blockstream 亦以同樣方式回覆，要求對方聯絡 security@blockstream.com 進一步商討。
白帽這個說法，沒有人接受
加密貨幣硬件裝置商 Ledger 技術總監 Charles Guillemet 直言不接受對方的白帽定性：「白帽不會先掏空一條橋，然後再要求以交易訊息聯絡。」他把事件與 Ronin 跨鏈橋被盜及 Euler Finance 的個案並列，指兩宗都是先把錢移走，事後才談歸還。
Blockstream 前保安總監 Samson Mow 亦提出疑點，指要求改用 Signal 聯絡的那個地址，與持有那 4,000 枚 BTC 的地址並不相同。
翻查資料，Liquid Network 由 Blockstream 於 2018 年推出，是一條讓交易所之間轉移比特幣的側鏈，其比特幣儲備由多方共同保管。
No comments yet
提交留言即表示你已閱讀我們的私隱政策。