Blockstream拒付Liquid赎金：扣款非白帽是盗窃

比特幣側鏈 Liquid Network 開發商 Blockstream 9 月 11 日發表聲明，拒絕向攻擊者支付贖金，指扣住資金不還是竊盜，不是白帽行為。攻擊者 9 月 6 日提走 3,998.5 枚 BTC，歸還 3,400 枚後仍留著 598.5 枚，並在鏈上要求 Blockstream 自掏腰包付 10% 賞金，否則持有者將損失 15%。

（前情提要：Liquid 駭客歸還 3,400 枚 BTC，保留近 600 枚比特幣掀「勒索」爭議）

（背景補充：Ledger CTO 喊話 AI 白帽！90 天修復期限內不準外洩，別用別人的風險來換流量）

重點摘要 Blockstream 拒付贖金，稱扣住 598.5 枚 BTC 是竊盜不是白帽 攻擊者 9 月 9 日在鏈上要求付 10% 賞金，否則持有者損失 15% Adam Back 承諾 1:1 掛鉤補足，但兌換仍暫停、資金來源未公布 比特幣側鏈 Liquid Network 的開發商 Blockstream 在 9 月 11 日發出聲明，表明不會為了取回被盜資金支付贖金。聲明寫道：「未經授權拿走資產、又扣住不還，是犯罪，不是負責任的漏洞揭露。這不是白帽行為，這是竊盜。」

To those responsible for the theft of bitcoin from the Liquid Network: Blockstream will not pay a ransom for the return of stolen funds. Taking assets without authorization and withholding their return is a crime, not responsible disclosure. It is not white-hat activity. It is… — Blockstream (@Blockstream) September 11, 2026 攻擊者 9 月 6 日利用 Liquid 節點軟體 Elements 的漏洞，從聯盟錢包提走 3,998.5 枚 BTC。其中 3,400 枚已經歸還，剩下的 598.5 枚截至發稿仍停在攻擊者地址，動區查詢 mempool.space 確認一枚都沒動。以每枚 77,391 美元計算，這筆錢約 4,632 萬美元。

攻擊者開價 10% 賞金 這份聲明回應的是攻擊者 9 月 9 日寫進比特幣區塊 966,199 的一則訊息。攻擊者從事發以來都用 OP_RETURN 溝通，也就是把文字附在比特幣交易裡，任何人都能在鏈上讀到。

訊息先指責 Blockstream「只撥了 150 萬美元（甚至可能是零）去保護 50 億美元的資產」。訊息接著要求 Blockstream「用自己的錢支付 10% 作為漏洞賞金」，否則「你們所有的持有者都會因為你們的不負責任與吝嗇，承擔 15% 的損失」。訊息最後說，事後會公開私鑰，讓外界解密雙方先前的加密對話。

598.5 枚占被提走總量的 15%，訊息裡說的持有者損失，就是攻擊者沒還的這一部分。訊息沒有寫明 10% 以什麼金額為基準。3,400 枚歸還後，Ledger 技術長 Charles Guillemet 就曾表示，攻擊者留著 598.5 枚「看起來更像勒索，而不是白帽行為」。

兩個選項都不接受 Blockstream 在聲明中說，先前本著善意與對方接觸，是為了取回使用者的資金、保護比特幣社群。聲明強調，「這不應被誤解為接受對方的行為，或接受對方開出的條件」。

Blockstream 拒付的另一個理由與開源軟體有關。聲明寫道：「我們不會參與這樣的先例，讓為比特幣社群開發開源軟體的人，得支付遠超過自身經濟參與的贖金。」聲明也寫，比特幣是硬通貨，不能無成本增發，「比特幣不會為了支付贖金而讓使用者的資產被減記」。

攻擊者給的是二選一，Blockstream 自己出錢，或由持有者承擔 15% 損失。聲明對前者說不，對後者則寫下「我們不會拋下使用者」，兩個選項都沒有接受。

聲明也警告，若資金沒有歸還，Blockstream 將與執法機關、交易所、服務商與鑑識專家合作，追查資產並找出行為人。聲明寫道：「交易不會消失，它們留下的證據也不會。」聲明另外提到 AI 的進步讓外在環境不同以往，比特幣社群正全力應對。

過去一個多月，BTCPay Server、Coldcard 與 Blockstream 旗下的 Core Lightning 都接連爆出漏洞或遭竊。

1:1 承諾還缺資金來源 598.5 枚的缺口最後由誰補上，聲明沒有交代。Blockstream 執行長 Adam Back 9 月 10 日在 X 上寫道，L-BTC 與 BTC 的 1:1 掛鉤會不會補足，「答案是 YES」。他也呼籲持有者不要在場外市場恐慌拋售。

Liquid 官方同一天公布，網路已恢復出塊，但區塊暫時不含交易。功能節點（functionary）與跨鏈橋節點的修補已部署完成。peg-in 與 peg-out（BTC 與 L-BTC 之間的兌換）仍然暫停。官方說明，最後一階段的工作是「恢復 BTC／L-BTC 的儲備」。

截至發稿，攻擊者最後一次從該地址送出訊息，是 9 月 9 日那則開價，Blockstream 聲明發出後還沒有回應。目前持有者能依據的只有 Adam Back 那句「YES」。補足缺口的資金從哪裡來、兌換何時恢復，Blockstream 都還沒公布。

常見問題 Blockstream 為什麼拒付 Liquid 攻擊者的贖金 Blockstream 認為扣住資金不還是竊盜，不是白帽行為，也不願開先例，讓開源軟體開發者支付遠超過自身經濟參與的贖金。攻擊者仍握有 598.5 枚 BTC，約 4,632 萬美元。

Liquid 的 L-BTC 持有者會不會有損失 Blockstream 執行長 Adam Back 9 月 10 日表示...