周六晚间(美国东部时间),比特币最古老的侧链Liquid Network联盟钱包被转出3996枚比特币,价值约3.2亿美元,几乎是该网络全部储备。处理LBTC代币的交易所在数小时内就暂停了充提业务。
Liquid由Blockstream自2018年起运营,思路很简单:交易所、OTC柜台和基金把比特币锁进网络,换取LBTC,结算速度更快、隐私性也更好,不必走比特币主链。真正的比特币则由大约十五个联盟成员共同保管。
Blockstream表示没有任何密钥被窃取。问题出在Liquid运行所依赖的Bitcoin Core分支Elements上——一个range-proof验证缓存的漏洞,让攻击者无需锁定对应比特币就能铸造LBTC。随后这些凭空产生的代币通过SideSwap交易平台换成了真实比特币。
相关交易附带的链上留言写道:"we are whitehats. contact us on chain"(我们是白帽黑客,请链上联系我们)。Blockstream并未证实这一说法,但已展开沟通,并在一天内为所有节点发布了补丁。
确认漏洞修复后,攻击者归还了3400枚比特币,约合2.72亿美元,自己保留了598.5枚比特币——约4700万美元,占总额的15%左右,双方也没有公开协议将这笔钱定义为"赏金"。这更像是攻击者单方面给自己开出的价码。
Liquid上的其他资产,包括USDT和代币化的现实世界资产,均未受影响。这起事件提醒人们:即便是运行多年、管理保守的比特币基础设施,也可能栽在一个普通的代码错误上,而不只是戏剧性的密钥失窃。
