Liquid 側鏈發布事件報告:緊急版本上線,598 顆比特幣未還
比特幣側鏈 Liquid 由 Blockstream 在 2018 年推出,交易所把比特幣鎖進十五家業者共管的聯邦錢包,在側鏈換成等值代幣 L-BTC 拿去結算。9 月 6 日有人利用底層軟體 Elements 驗證快取的瑕疵,造出約 4,000 顆沒有比特幣支撐的 L-BTC 換走真幣,準備金從 4,205 顆掉到 197 顆,網路自此停擺。
Liquid 官方 8 日 19 點 10 分發出第一份事件報告,寫明金鑰沒有外流、聯邦節點沒有被入侵,Liquid 上發行的 USDT 等資產不受漏洞影響,只是停擺期間動不了。報告預告 48 小時內推出緊急版本,9 日 03 點 14 分 Elements 23.3.4 上線,把驗證快取的索引改成逐欄位標明長度。598.5 顆比特幣仍未歸還,網路要等節點升級完才重開。
- Liquid NetworkLiquid 網路事件報告:截至 9 月 8 日 19 時 10 分的狀態
- ElementsElements 23.3.4 版本發布說明
- CertiKLiquid 網路事件分析
- Samson Mow:「關於安全的網路恢復,Blockstream 與 Liquid 聯邦成員正在積極處理,估計時間看起來是 4 到 5 天,取決於各種因素。很多使用者的 L-BTC、USDT、DePix 還放在 Liquid 上等著動用。」
- JW Weatherman:「沒有聯邦成員會對自己執行的程式碼做安全審查,這個程式碼庫也沒有合理的變更控管流程。」
- Tony Klausing:引用報告裡「複雜關鍵系統的失效,通常是多個低機率因素打敗了內建的冗餘設計」後說:「我們需要一場談維運的場次,講部署紀律、程式碼稽核、存取與變更控管、伺服器安全、職務分離與監控。」
比特幣側鏈 Liquid 由 Blockstream 推出,交易所把比特幣鎖進十五家業者共管的聯邦錢包,在側鏈換成等值的 L-BTC 拿去結算。9 月 6 日有人利用底層軟體 Elements 的驗證瑕疵,造出約 4,000 顆沒有比特幣撐著的 L-BTC 換走真幣。對方自稱白帽,退回 3,400 顆後留下 598.5 顆、約 4,700 萬美元,官方沒說那是不是談好的賞金。
9 月 11 日,Blockstream 發出公開聲明,說不會為了拿回被竊資金付贖金,未經授權拿走資產又扣著不還是犯罪,不是負責任的揭露,也不是白帽行為。聲明不願為「替比特幣社群寫開源軟體的人,要付出遠超過自身經濟參與的贖金」開先例。資金沒還,公司就會與執法機關、交易所與鏈上鑑識團隊合作追查地址與責任人。
- BlockstreamBlockstream 公開聲明:不會為歸還被竊比特幣支付贖金
比特幣側鏈 Liquid 由 Blockstream 推出,交易所把比特幣鎖進十五家業者共管的聯邦錢包,在側鏈換成等值的 L-BTC 結算,USDT 與墨西哥業者的數位本票也發在上面。9 月 6 日有人利用底層軟體 Elements 的驗證瑕疵,造出約 4,000 顆沒有比特幣撐著的 L-BTC 換走真幣,網路自此停擺,鏈上資產跟著動不了。
官方 9 月 10 日 19 點 55 分發出狀態更新,說區塊生產已經回來,功能節點重新簽章與驗證,鏈上交易恢復,距離事發四天。把 L-BTC 兌回比特幣的功能作為預防措施仍然關閉,最後階段還在做內外部測試與程式碼掃描。Blockstream 執行長 Adam Back 說 1:1 掛鉤會被補上,要持有人不必急著在場外折價賣。
- Liquid NetworkLiquid 網路狀態更新:交易恢復,兌出仍關閉