Blockstream已拒绝为Liquid网络漏洞事件中仍由攻击者控制的约598.5枚比特币支付赎金。此前，约3,400枚比特币已归还至Liquid联邦钱包。该公司表示，未经授权取走资产并拒绝归还属于盗窃，拒绝接受攻击者将其行为描述为负责任披露或白帽活动。
在9月11日发布于X的声明中，Blockstream表示：“我们不会为归还被盗资金支付赎金。未经授权取走资产并扣留不还是一种犯罪，不是负责任披露，也不是白帽行为。这是盗窃。”这一表态出现在公司与身份不明的攻击者进行了数日沟通之后。9月6日，Liquid联邦钱包被提取近4,000枚比特币。
谈判未构成接受赎回条件
Blockstream称，其本着诚意与攻击者接触，以追回属于用户的资金并保护比特币社区，但谈判并不意味着接受此次提取行为或攻击者随后提出的条件。公司认为，在有人利用代码漏洞后，开源比特币软件开发者不应被迫支付超过其项目经济参与程度的赎金。
Blockstream表示：“比特币是硬通货，不能无成本地增发。比特币不会削减用户资产来支付赎金。”
争议核心是约598.5枚比特币仍未归还。9月7日，3,400枚比特币被退回Liquid联邦钱包，约占事件中被提取比特币的85%。在较大一笔还款完成时，剩余比特币价值接近4,700万美元。公开信息中没有协议授权攻击者保留这些币作为赏金。
攻击者自称白帽并索要10%赏金
攻击者最初自称“白帽”，并通过嵌入比特币交易的消息与Blockstream沟通。归还3,400枚比特币前，他们要求公司修复漏洞，并确保所有受影响节点都已打补丁。Blockstream随后通过签名消息确认，其桥节点已修补，资金可以安全归还。
随着谈判继续，根据链上公开消息，攻击者要求Blockstream用自己的资金支付10%赏金，否则Liquid持有者将面临损失。Blockstream现已拒绝任何与归还剩余代币挂钩的付款。
Liquid漏洞源于缓存键碰撞
9月6日事件涉及Blockstream开发的比特币侧链Liquid的一个漏洞。近4,000枚比特币离开联邦钱包，占当时储备中持有的大部分比特币。后续对Liquid网络漏洞的检查发现，事件源于机密交易验证逻辑中的缓存键碰撞。Blockstream表示，联邦密钥并未受损。
攻击者利用该缺陷从联邦储备中获取比特币，随后开始与Blockstream进行链上交涉。事件期间，Liquid暂停出块，交易所被要求暂停L-BTC充提。在Blockstream修补受影响桥节点后，攻击者将3,400枚比特币转回联邦地址，约598.5枚比特币仍留在攻击者控制的地址。
Blockstream计划追查剩余资金
由于谈判未能促成全部归还，Blockstream表示，控制剩余比特币的人仍有机会将其送回，并回归公司所称的标准白帽原则。如果资金仍未归还，公司计划与执法机构、交易所、服务提供商、取证专家及其他各方合作，追踪这些比特币并识别责任人。
比特币交易会留下公开链上记录，即使代币随后被拆分到多个钱包，调查人员仍可持续观察与事件相关地址的资金动向。类似追踪流程曾用于其他重大比特币盗窃案。例如，Galaxy Research在8月发现，在研究人员将1,789.28枚比特币损失归因于Coldcard漏洞后，仍有1,561枚比特币未被移动。已识别的攻击者地址被分享给交易所、合规公司和执法部门。
Blockstream表示，比特币的透明度将使社区和调查人员能够继续追踪与Liquid资金相关交易留下的证据。公司称：“交易不会消失，它们留下的证据也不会消失。”公司坚称，既不会为归还被盗财产付款，也不会停止追查未归还的比特币。“归还比特币。”Blockstream表示。
近期，比特币软件安全问题也在其他地方出现。8月，BTCPay Server支持者支持了一项追回赏金，金额为漏洞事件追回资金的10%。该漏洞暴露了LND管理员macaroon凭证。若所有被盗资产被追回，赏金上限为3枚比特币。此前，BTCPay Server曾要求运营者安装2.4.2版本，或关闭受影响服务器直至完成更新。