駭客盜走Liquid Network價值3.2億美元比特幣 修補漏洞後大部份贓款已退回

駭客於週末從一項名為Liquid Network的區塊鏈平台中，盜走價值約3.2億美元的比特幣。然而，這起攻擊事件出現極不尋常的轉折——攻擊者在美東時間週一稍早，主動退回了大部分的贓款。

根據Liquid Network維運團隊說明，駭客從總計4,000枚被盜的比特幣中，保留了598枚（約4,700萬美元），其餘款項皆已歸還。駭客對外聲明，會將這些剩餘資金視為「懸賞金（bounty）」，以表彰他們揭露Liquid Network潛在漏洞的貢獻。

Liquid Network是由區塊鏈新創公司Blockstream Inc.於2018年推出的Layer 2比特幣網絡，係建構在比特幣基礎設施之上的區塊鏈，此類區塊鏈又被稱為「側鏈（sidechains）」。

比特幣的用戶交易透過去中心化機制處理。當比特幣持有者轉移資金時，數千個由用戶運作、稱為「全節點（full nodes）」的伺服器會驗證該筆交易的真實性；接著，擁有比特幣挖礦硬體的礦工透過執行高耗能的運算工作，正式確認該筆交易。

Liquid Network則以中心化的工作流程取代比特幣的交易核准機制。交易驗證工作由約80家機構負責，成員包括加密貨幣錢包供應商、交易所運營商及各類產業業者；在任何特定時刻，實際參與驗證交易的機構約僅15家。

Liquid Network在其他方面也與比特幣有所不同。用戶無法查看彼此的交易金額。此外，該平台提供一套稱為SideSwap的系統，使用戶能在不同的區塊鏈之間移轉資金，而這套系統正是本次比特幣竊案的核心所在。

用戶透過將比特幣存入SideSwap來註冊使用Liquid Network。該系統會將比特幣移轉至虛擬保險庫進行保管，並發行等值的平台專屬穩定幣。當用戶希望將資金移出Liquid Network時，SideSwap會退還用戶先前存入的比特幣。

SideSwap在移轉加密貨幣的過程中，會使用一組稱為「peg-out authorization key（PKA）」的資料。Liquid Network的維運方表示，駭客正是利用PKA盜取比特幣，但同時聲稱PKA本身「並未遭到破解」。

SideSwap的開發團隊在社群平台X上發文指出，駭客利用了Elements的漏洞。Elements是一個支撐Liquid Network運作的開源專案，除了為側鏈的中心化交易驗證流程提供動能外，也負責處理其他關鍵功能。

駭客盜走的4,000枚比特幣，約佔Liquid Network當時比特幣儲備的95%。儲存在該側鏈上的其他加密貨幣則未受影響。在漏洞遭到利用後不久，駭客在比特幣的公開交易紀錄中嵌入一則訊息給Blockstream，表示一旦該公司修補漏洞，他們就會歸還大部分遭竊的加密貨幣。

這起事件是近期一系列針對加密貨幣平台網路攻擊中的最新案例。根據統計，駭客在8月份總共透過50起攻擊事件，竊取約1.363億美元的加密資產。