Blockstream收到一份最后通牒:支付所谓的"漏洞赏金",否则Liquid网络的用户将承受更大损失。周四,公司给出了明确答复:一分钱都不会付。
事情始于9月6日,有人利用Liquid底层代码Elements中的一个漏洞,凭空铸造了约4000枚没有真实比特币背书的L-BTC,再通过拥有提款权限的联盟成员SideSwap将其兑换成真实比特币,当时价值约3.2亿美元。次日,攻击者主动归还约3400枚比特币,并附上链上留言:先修复漏洞,再谈剩下的。Blockstream几天内完成补丁,9月10日恢复出块,但存取款功能至今仍处于冻结状态。
剩下的598.5枚比特币,约合4700万美元,始终没有归还。攻击者开出价码:拿走原始金额的10%作为"漏洞赏金",否则代币持有者将损失15%的价值。Blockstream拒绝这种说法,称"扣留他人资产是犯罪行为,而非负责任的漏洞披露",并表示将联合执法部门、交易所和链上取证公司追查资金去向。
与过去的黑客事件相比,反差十分明显。2021年Poly Network损失6.1亿美元时,黑客自愿归还了几乎全部资金,后来还被邀请出任该协议的安全顾问,整个过程没有任何威胁。而这次角色完全颠倒:攻击者自己定价,并以后果相威胁。这件事的走向不仅关乎Liquid本身——一旦Blockstream妥协,下一次侧链攻击几乎肯定会附上同样的账单。
