一場針對 Liquid Network 的駭客攻擊，從 Blockstream 的比特幣側鏈抽走約 4,000 枚 BTC，價值約 3.2 億美元。涉嫌攻擊者隨後提出歸還大部分資金，條件是網路必須先修補被利用的漏洞。

Liquid 是比特幣的側鏈。交易所與交易平台利用它在彼此之間快速且保密地轉移 BTC，以避開較慢且較昂貴的比特幣主鏈。使用者須先將比特幣鎖定在聯邦錢包中，並以 1:1 的比例換取代幣 L-BTC。這種設計與比特幣本身不同：它不是採用工作量證明共識，而是由一個聯邦企業群體共同控制兩個網路之間的橋接，這使得錨定機制的完整性同時取決於該群體的誠信與軟體的正確性。Blockstream Corp 於 2018 年推出 Liquid，該公司由 Adam Back 共同創辦。據 Blockstream 表示，聯邦成員包括 80 多家公司，由 15 名職能人員透過 11-of-15 多重簽名授權出金。

2026 年 9 月 6 日，該儲備中原持有的約 4,200 枚 BTC 中，約有 4,000 枚離開了網路，僅留下約 197 枚 BTC。這些交易透過 SideSwap 進行，這是一個獲授權處理 peg-out（轉出主鏈）的結算平台。據 Liquid Network 表示，SideSwap 的金鑰完好無損。

軟體漏洞導致攻擊發生

攻擊者並未竊取金鑰。初步技術分析指向側鏈背後的軟體 Elements 節點的漏洞。具體而言，受影響的元件是用於機密交易的 rangeproof 快取。因此，攻擊者能夠在沒有任何鎖定比特幣作為抵押的情況下創造 L-BTC。在 peg-out 過程中，聯邦僅檢查出金地址是否獲得授權，從未驗證所提交 L-BTC 的抵押品。15 名職能人員將金鑰保存在專用的 HSM 硬體中，並同時驗證側鏈的區塊。

修補程式顯然早已存在。2026 年 8 月 3 日，一名 Blockstream 開發者提交了「fix: range proof cache bind to asset and scriptpubkey」。然而，該變更直到事件發生後才進入發布分支，這意味著當時在生產環境中運行的 23.3.3 版本並未包含此修補。修復提交與實際部署之間的落差，突顯了聯邦網路面臨的更廣泛營運挑戰：安全性不僅取決於發現漏洞，還取決於每一位職能人員是否及時升級。

區塊瀏覽器也提供了早期警訊。Blockstream 自家的 Liquid 瀏覽器接受了有問題的區塊 4,050,336，而獨立服務 mempool.space 則拒絕了它。因此，SideSwap 無法看到這些代幣的來源；該服務表示無法將這些代幣與普通的 L-BTC 區分開來。

就區塊層面而言，出金請求於 14:06 UTC 送達。約 20 分鐘後，聯邦在比特幣主鏈上完成支付。確切金額因測量點而異：peg-out 約涵蓋 3,996 枚 BTC，而聯邦包含費用的最終支付總額約為 4,019 枚 BTC。託管安全並未涵蓋此次事件所衝擊的層面——金鑰完好無損，失守的是程式碼。

Blockstream 暫時停止 Liquid Network

網路以停機作為回應。營運者停用了橋接節點，使新的交易無法進入，同時交易所收到指示，暫停 L-BTC 的充值與提款。在 Liquid 上發行的其他資產，包括 Tether 和巴西的 DePix，據稱未受影響。

「Liquid 錢包將受到影響，我們對任何不便深表歉意。」——Liquid Network 官方聲明

停機的影響範圍取決於用戶基礎：該聯邦包含 80 多家交易所、基礎設施公司和資產管理公司。Blockstream 將 Bitfinex 和 BTSE 列為用戶，以及將於 2026 年 9 月關閉的 BitMEX。值得注意的是，Bitfinex 與 Tether 共享同一母公司。這些公司使用該側鏈進行快速結算，因為比特幣主鏈上的轉帳耗時更長、成本更高。然而，上述交易所當時尚未發表公開聲明。

Blockstream 本身保持低調。截至發稿時，該公司與共同創辦人 Adam Back 均未在 X 上對此次資金外流發表評論，使得網路官方帳號和 SideSwap 成為主要的公開發聲者。

涉嫌攻擊者釋出部分歸還訊號

責任者在鏈上現身。他們在一筆交易中嵌入的訊息寫道：「we are whitehats. contact us on chain.」。一天後，他們提出在開發者修復漏洞後歸還大部分資金：開發者應先修補漏洞並更新每一個節點，之後攻擊者才會安全地轉回資金。Blockstream 也在鏈上回覆，並向對方指出 security@blockstream.com。

業界對這一自我定位提出質疑。Ledger 技術長 Charles Guillemet 公開指出，嚴肅的資安研究人員通常會在轉移如此規模的儲備之前先行通報漏洞。這一質疑有其道理：抽走儲備 95% 資金並癱瘓網路的人，是在以強勢地位進行談判，而這種地位是正常的漏洞揭露永遠無法創造的。

此事件加入代價高昂的駭客年份

其規模在年度比較中也十分突出。據 TRM Labs 統計，在 Liquid 資金外流之前，2026 年的駭客損失已達約 12 億美元，來自 276 起事件。在此之前，今年第三大單一案例是7 月下旬針對 Coldcard 硬體錢包的攻擊，該攻擊從超過 5,200 個地址抽走約 1.16 億美元——約 1,816 枚 BTC。8 月下旬，Cronos 借貸平台 Tectonic 也遭遇漏洞攻擊。攻擊者在 20 分鐘內將 Tonic 代幣價格抬高約 300 倍，藉此借出超過 7,400 萬美元，最終淨獲利約 600 萬美元。Cronos 驗證者隨後凍結了交易。加上 Liquid 的資金外流，2026 年通報的損失目前已接近 15 億美元，此案有望躋身史上最大規模的加密貨幣攻擊之列——規模可與過往 Ronin 和 Wormhole 等大型跨鏈橋攻擊相提並論。攻擊者歸還提議的結果、Elements 修補程式在聯邦各節點的部署進度，以及 L-BTC 充值與提款的最終恢復，是網路用戶未來幾天的關鍵懸念。