Liquid Network补齐3.2亿美元漏洞损失,比特币(BTC)储备恢复全额

Liquid联盟宣布储备全额恢复

在漏洞事件抽走大部分储备两个月后,Liquid联盟于星期一确认,支撑Liquid Network这条侧链的比特币(BTC)已重新补足。联盟在公告中表示,所有LBTC均已恢复1:1锚定。LBTC是Liquid上发行的封装比特币代币,用户锁定Bitcoin (BTC)后可获得等量LBTC。通过合作机构进行的BTC与LBTC双向兑换,实际上早在数周前就已按平价恢复。Liquid由Blockstream于2018年推出,由一批交易所和加密公司组成的联盟运营,此次修复的意义在于,LBTC是链下快速、隐私转账的结算资产,每枚流通中的LBTC都应对应一枚锁定在联盟托管之下的比特币。此次事件涉及的是托管问题,与比特币价格走势无关。Blockstream首席执行官Adam Back贴出仪表盘截图,显示负债已被全额覆盖,储备率达到100%,缺口为0.00 BTC。区块浏览器数据显示,LBTC流通量为4,270.54枚,约合3.27亿美元,如今有等值比特币一一对应,任何运行Liquid节点的人都可以直接验证储备。Blockstream前首席安全官Samson Mow在确认发布前不久于X上写道,此次补入250枚BTC,填补了最后的缺口。此前近两个月里,缺口一直维持在约600枚BTC,价值约4,600万美元。联盟未说明补足资金来自何处,也未给出9月事件事后报告的发布时间,仅表示正在推进Liquid治理结构现代化,将明确职责与监督机制并加强技术和运营层面的防护,更多细节将在未来几周公布。

9月漏洞事件与失踪的598枚BTC

缺口始于9月6日。攻击者利用Elements软件中的一个缺陷,凭空铸造了约4,000枚LBTC。Elements是Blockstream开发、Liquid联盟运营的底层软件,由于系统把这些伪造凭证当作真实凭证接受,攻击者随即将其兑换成真币,从联盟钱包中提走约4,000枚BTC,按当时价格约合3.2亿美元。攻击期间,攻击者通过嵌在比特币交易中的PGP签名消息与Blockstream沟通。一天后,在这条跨链桥的节点完成修补后,3,400枚BTC(约2.69亿美元)被追回。攻击者留下约598枚BTC,将其定性为发现漏洞的10%赏金,此后这些币再未移动。Blockstream拒绝支付赎金,并明确表示扣留被盗资产属于犯罪行为,而非负责任的漏洞披露。Ledger首席技术官Charles Guillemet则认为,这种做法更接近敲诈,而非白帽 hacking 之外的正当行为。该联盟共有81名成员,包括Hodl Hodl、Specter、CoinShares、Komainu、Xapo和Bull Bitcoin (BTC),任何被锁定比特币的转移都需要15把密钥中的11把签名。用户对危机处理方式颇有微词:9月下旬,加拿大的Bull Bitcoin表示客户无法通过其平台赎回LBTC,创始人Francis Pouliot在恢复消息下只回了一个词:"1:1"。当被问及如何防止类似事件重演时,Back在X上列出了三道加固防线:锚定提款授权密钥将定期轮换并转入冷硬件钱包;凭证验证缓存已被关闭,同时修复了一个节点缺陷;共识规则已调整为在异常时默认拒绝。他还表示,网络此后已完成多轮第三方审计,并提醒开发者对AI给出的修复建议保持怀疑,不要盲目采信。

恢复之后仍未解决的两大悬念

储备恢复清除了悬在Liquid用户头上的最大阴影,但两个问题仍然没有答案:598枚BTC的缺口究竟由谁出资填补,以及承诺的事后报告何时发布。这次漏洞也重置了网络的风险模型。11/15多签机制本身没有被攻破,问题出在Elements的代码缺陷让伪造凭证通过了校验,这是与密钥被盗完全不同的威胁类型。这一区分对更广泛的比特币DeFi和侧链生态同样重要:在锚定资产的世界里,铸造与赎回代码的安全性,与守护储备的签名机制同等关键。在联盟公布治理改革方案之前,LBTC持有者面对的,仍是一个仅凭仪表盘上100%读数就值得信任的81人联盟。