Blockstreamは、Liquid Networkのエクスプロイト後も行方不明となっている約598.5 BTC（約4,700万ドル相当）の返還と引き換えに、身代金を支払わないと表明した。この決定により、資金を持ち去った人物との数日間にわたる交渉は終了した。

攻撃者は日曜日、Liquidのサイドチェーンから約4,000 BTCを流出させた。当時の資産価値は約3億2,000万ドルだった。攻撃者は月曜日に3,400 BTC、つまり盗まれた金額の約85%を返還した。残りの598.5 BTCは、資金の送付先となったアドレスに引き続き保管されており、移動していない。

「許可なく資産を取得し、その返還を保留することは犯罪であり、責任ある脆弱性開示ではない」と、Blockstreamは金曜日に述べた。「これはホワイトハット活動ではない。窃盗だ」

BlockstreamはXへの投稿で、窃盗に関与した人物に向けて次のように述べた。

To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026

https://x.com/Blockstream/status/2098281867908690394?ref_src=twsrc%5Etfw

今回のエクスプロイトには、Liquidノードがレンジプルーフの検証結果をキャッシュする方法の欠陥が関係していた。この脆弱性により、攻撃者は裏付けのないL-BTCを発行し、ペグアウト承認キーを保有していた連合メンバーのSideSwapを通じて、準備金のBitcoinと交換できた。その結果、Liquidの準備金は197 BTCまで減少した。

Blockstreamは10時間以内にブリッジノードへパッチを適用し、水曜日にElements v23.3.4をリリースした。Liquidは木曜日にブロックの生成と取引処理を再開したが、「復旧の最終段階」が続く中、予防措置としてペグアウトは無効化されたままとなっている。ペグアウトは、L-BTCをLiquidの準備金に保管されたBitcoinと交換する仕組みであり、これを無効にすることで、復旧作業の継続中はその交換を防止できる。同社はまた、偽のアップデートサイトを使ってノード運営者を狙う詐欺師についても警告した。

Liquidが火曜日に公表したインシデント報告では、攻撃者を「ホワイトハットハッカー」と表現し、ネットワーク再開に向けてその人物と調整していると説明していた。Blockstreamは、こうした協議への参加について、「実施された行為や、要求されている条件を受け入れたと誤解されるべきではない」と述べた。

要求内容は水曜日のBitcoin取引で公表された。攻撃者は、Blockstreamが「50億ドルの資産を守るために、わずか150万ドル（もしかすると0ドルさえ）しか割り当てていない」と主張し、これを「安全性に対する甚だしい怠慢」と表現した。攻撃者は「自分たちの資金をバグ報奨金として使って」10%を支払うよう要求し、さもなければ「無責任とけちのため、保有者全員に15%の損失を負わせることになる」と警告した。

Blockstream、身代金支払いの前例を作らないと表明

Blockstreamは、「Bitcoinコミュニティのために開発されたオープンソースソフトウェアの開発者に、経済的な関与をはるかに上回る身代金の支払いを強いるという前例に加担することはない」と述べた。

同社はまた、ユーザーの資金を使って不足分を補填することもないと説明した。「Bitcoinはハードマネーであり、コストなしに発行することはできない」と同社は述べた。「Bitcoinは身代金を支払うためにユーザーの資産を目減りさせない」

残りのBitcoinが返還されなければ、Blockstreamは法執行機関、取引所、フォレンジック専門家と連携し、「あらゆる合法的な手段」を追求するとした。「取引は消滅せず、取引が残した証拠も消えない」と同社は警告し、最後に「Bitcoinを返還せよ」と述べた。

出典: Decrypt