Blockstream已拒绝为Liquid网络漏洞利用事件中仍由攻击者控制的约598.5枚比特币支付赎金。此前本周早些时候，已有3400枚比特币被归还。
摘要
Blockstream拒绝为攻击者手中仍在持有的Liquid网络漏洞利用事件相关比特币支付赎金。攻击者此前在近4000枚BTC从Liquid联邦钱包中被提走后归还了3400枚BTC。Blockstream驳斥了攻击者的“白帽”立场，表示未经授权获取资金并扣留归还行为等同于盗窃。
该公司表示，将与执法机构、交易所、取证专家和服务提供商合作，追踪并恢复剩余比特币。
Blockstream在9月11日的X帖子中表示，未经授权获取资产并扣留归还等同于盗窃，驳斥了攻击者将其行为描述为负责任披露或白帽活动的说法。“我们不会为被盗资金的归还支付赎金，”该公司说。“未经授权获取资产并扣留归还是犯罪，不是负责任披露。这不是白帽活动。这是盗窃。”
此前，在9月6日近4000枚BTC从Liquid联邦钱包提走后，Blockstream与身份不明攻击者进行了数日沟通。
Blockstream表示，其已真诚地与攻击者接触以恢复属于用户的资金并保护比特币社区，但表示谈判并不意味着接受提款行为或后来提出的条件。该公司认为，在有人利用代码后，开源比特币软件的开发者不应被迫支付超过其项目经济参与度的赎金。“比特币是硬通货，无法无成本地增发，比特币不会通过削减用户来支付赎金，”Blockstream说。
争议焦点是约598.5枚BTC，在9月7日3400枚BTC归还至Liquid联邦钱包后仍未收回。该还款恢复了事件中提走比特币的约85%。当较大还款完成时，剩余比特币价值接近4700万美元。没有公开披露的协议授权攻击者将这些币作为赏金保留。
攻击者最初自称“白帽”，并通过嵌入比特币交易中的消息与Blockstream沟通。在归还3400枚BTC之前，他们告诉公司修复漏洞并确保每个受影响的节点都已打补丁。Blockstream后来通过签名消息确认其桥接节点已修补，资金可安全归还。
据crypto.news此前报道，攻击者在漏洞修复后提出归还大部分提走的比特币，但未承诺归还全部金额。随后的链上消息改变了争议条款。随着谈判继续，攻击者要求Blockstream用自有资金支付10%赏金，否则Liquid持有者将面临损失。Blockstream现已拒绝任何与归还剩余币相关的支付。
Liquid漏洞致近600 BTC未归还
9月6日事件涉及影响Liquid（Blockstream开发的比特币侧链）的漏洞。近4000枚BTC离开联邦钱包，占当时储备中持有的大部分比特币。对Liquid网络漏洞的后续检查发现，事件源于机密交易验证逻辑中的缓存密钥冲突。Blockstream表示联邦密钥未泄露。攻击者利用该缺陷从联邦储备中获取比特币，然后开始与Blockstream进行链上交流。
Liquid在事件期间停止出块，同时要求交易所暂停L-BTC存取款。在Blockstream修补受影响的桥接节点后，攻击者将3400枚BTC转回联邦地址。约598.5枚BTC留在攻击者控制的地址中。
Blockstream的最新声明划清了此前努力谈判归还与同意奖励责任方之间的界限。公司表示，支付要求将开创一个先例，即开源开发者可能在利用他们软件的系统中发生未经授权提款后被强迫资助大额支付。
Blockstream告诉比特币社区，它继续为资金被拿走的用户努力，并感谢帮助识别和修补比特币相关软件漏洞的工程师、密码学家和安全研究人员。该公司将开源项目面临的部分安全压力归因于人工智能的进步，称整个比特币生态系统的团队一直致力于发现并修复彼此产品和系统中的弱点。
近几个月其他地方也出现了涉及比特币软件的安全问题。8月，BTCPay Server支持者在漏洞暴露LND管理员macaroon凭据后，支持了相当于追回资金10%的恢复赏金。如果所有被盗资产被追回，该赏金上限为3 BTC。该安排发生在主动利用漏洞后，BTCPay Server通知运营商安装2.4.2版本或关闭受影响的服务器直至更新。
Blockstream计划追讨剩余资金
由于谈判未能达成完整归还，Blockstream表示控制剩余比特币的人仍有机会将其送回，并回归公司所谓的标准白帽原则。如果资金仍未归还，公司计划与执法机构、交易所、服务提供商、取证专家和其他方合作追踪比特币并识别责任人。
比特币交易留下公开链上记录，即使币后来被拆分到多个钱包，调查人员也能持续查看与事件相关地址的变动。类似追踪流程已用于其他重大比特币盗窃案。例如，Galaxy Research在8月发现，在研究人员将1789.28 BTC损失归因于Coldcard漏洞后，有1561 BTC未移动。已确定的攻击者地址已与相关交易所、合规公司和执法机构共享。
Blockstream表示，比特币的透明度将允许社区和调查人员继续跟进Liquid资金相关交易留下的证据。“交易不会消失，它们留下的证据也不会，”该公司说。公司坚持既不支付被盗财产归还费用，也不停止追讨未归还比特币。“归还比特币，”Blockstream说。