自称白帽黑客抽走4000枚比特币(BTC),Liquid Network暂停运营

4000枚BTC流出联盟托管钱包

比特币(BTC)侧链Liquid Network已停止运作——约4000枚BTC(价值近3.2亿美元)被一群自称“白帽黑客”的行为者从其联盟托管钱包中转出。Liquid在X平台发布的一则消息中确认,桥接节点已被禁用以阻断新交易,各大交易平台——包括收录在我们最佳加密货币交易所榜单中的多家平台——均已收到通知,暂停L-BTC的充值与提现。此次被转出的金额约占联盟储备中原有约4200枚BTC的95%。L-BTC本质上是一种封装比特币工具,与锁定在侧链上的比特币按1:1比例铸造。需要强调的是,比特币网络本身未受任何影响——底层工作量证明主链持续正常出块,因为问题出在Liquid的基础设施层面,而非主网。对我们这样长期追踪封装资产风险的团队而言,这次事件再次暴露了侧链托管结构的单点脆弱性。

与Blockstream的链上对话

自周日以来,该组织利用比特币交易中的OP_RETURN消息和PGP加密文本,开辟了一条谈判通道。Galaxy Research负责人Alex Thorn发布的一次链上复盘显示,Liquid的技术提供方Blockstream率先发起接触——向对方发送1000聪,并附上一条指引其联系自家安全团队的备注。在此之前,价值约3.2亿美元的币已被归集至单一比特币地址,地址上标记着“我们是白帽黑客,请在链上联系我们”的字样。该组织询问将大部分资金返还至联盟地址是否可接受,同时坚持要求这些币在漏洞于全网修复完成之前保持原地不动。至于“大部分”具体指多少,目前没有明确定义;还款也没有任何保证,而且几乎所有比特币仍在他们的控制之下。

SideSwap:密钥并未泄露

这笔资金的具体转出路径正逐渐清晰。SideSwap披露,交易是作为一笔客户订单通过其peg-out(转出锚定)服务执行的,使用的是其转出授权密钥(PAK),但该公司明确表示密钥本身从未被攻破。真正的问题在于,涉事的L-BTC源自Elements中的一个漏洞——Elements是支撑Liquid运行的开源软件。Liquid至今只将相关责任方描述为“据称的”白帽黑客,刻意保留了对其动机的判断空间。值得注意的是,该网络上除L-BTC之外发行的其他资产——包括USDT、DePix以及各类现实世界代币——据报道均未受影响。对于任何关注封装比特币设计如何集中托管风险的人来说,这次事件就是一份活生生的案例,我们此前的4000枚BTC白帽转出报道对桥接机制做了详细拆解。

写在比特币区块上的时间线

链上数据将资金转出本身锁定为一笔约3996枚BTC的peg-out交易,对应比特币交易于9月6日在第965783个区块中获得确认,可在区块浏览器中查看。另一笔独立交易承载了对方首次提出白帽身份的声明。Blockstream随后在第965822个区块做出回应,发送1000聪并附带一条OP_RETURN警报,接着又传输了加密材料,附带分离签名,可通过其公开发布的PGP密钥验证。对方在第965869个区块答复,向联盟的peg钱包发送1000聪,并询问返还大部分资金的事宜;六个区块之后,他们提出了“先修复漏洞”并更新每一个节点的要求。这场链上往来只能证明一件事:持有这些币的人有能力与Blockstream对话——它并不能证明对方的动机。

业界对白帽说法的分歧

安全专家之间意见并不统一。Ledger首席技术官Charles Guillemet起初认为,传统意义上的白帽黑客通常不会从一座桥接中抽走数亿美元,并将其与Ronin、Euler等历史攻击事件相提并论。但在该组织尝试主动联系之后,他放缓了立场,指出犯罪者极少会费如此周折去联系受害者,并写道“还有希望”——同时推测,AI辅助的研究手段可能在没有任何正式披露流程的情况下发现了这个缺陷。截至目前,Liquid尚未公布补丁版本号,没有发布技术性事后复盘,也没有确定重新开放的时间;截至最新核查,尚未出现任何经确认的返还交易。

事后复盘仍然缺位

在我们的解读中,可验证的链条正是此次事件与普通攻击的区别所在:被转出的金额——约3996枚BTC——可以在链上独立核实,而且Blockstream团队自己的链上信息也将根本原因定位于Elements软件,而非被盗的授权密钥。修复路径同样清晰明确:在任何重启之前,补丁必须分发到每一个联盟节点。尚未被证明的是动机;在正式的事后复盘披露peg-out如何绕过正常控制流程、以及对方打算保留多少储备之前,“白帽”的说法始终存疑。对于比特币DeFi而言,这再次印证了一条熟悉的教训:持有集中托管的桥接依然是今年最薄弱的环节——截至8月,2026年协议层面的损失预计已达13亿美元。