2026年9月6日，Liquid Network发生一次罕见的“无抵押铸造—授权兑出”安全事件。公开资料显示，事件责任方利用底层Elements软件中与范围证明验证缓存有关的漏洞，生成约4,000枚没有真实比特币储备支持的L-BTC，随后通过SideSwap的授权兑出服务，将其换成Liquid Federation储备钱包中的真实BTC。
这不是“私钥被盗后直接转走储备”的常见路径。Liquid方面称，联邦节点和兑出授权密钥并未被攻破；问题发生在交易有效性验证层。无支持的L-BTC被节点误判为有效后，后续兑出流程按既有规则运行，最终约3,996 BTC被释放并转发至事件责任方指定的比特币地址。
已确认的时间线
SideSwap在9月9日的详细说明中给出了可核验交易哈希和操作时间。其称，事件责任方先进行了小额测试，随后在9月6日13:53 UTC左右创建无支持的L-BTC，并于14:05 UTC提交约4,000 L-BTC的兑出订单。SideSwap以有效授权销毁代币，Liquid Federation随后释放约3,996.02 BTC，SideSwap在同一区块将约3,996 BTC转发给对方。
Liquid随后暂停网络并关闭桥接节点。9月7日，事件责任方返还3,400 BTC；截至9月11日的公开状态，约598.5 BTC仍未归还。Blockstream已拒绝把未返还部分视为单方面确定的漏洞赏金，并表示将与执法机构、交易平台和链上调查机构合作追踪资金。这里应区分两点：3,400 BTC返还是链上可核验事实；剩余资金最终如何处理、责任方身份及司法结论仍未确定。
为什么这是两层控制同时失效
第一层是Elements软件的交易验证漏洞。Chainalysis根据公开事故资料总结称，缓存键处理缺陷使无效范围证明被错误复用为已验证结果，从而让原本不平衡的交易获得通过。这一问题触及L-BTC“每一枚均由储备BTC支持”的核心假设。
第二层是兑出服务的操作风控。SideSwap承认，其兑出授权密钥保持在线，付款和转发高度自动化；系统没有针对订单规模、速度、来源钱包年龄或占L-BTC总供应比例设置足够的人工复核与限额。一个接近全网储备规模的订单因此未被拦截。软件漏洞创造了无支持代币，而兑出流程把可在Liquid内部回滚或冻结的问题转化为比特币主网上难以逆转的真实付款。
这也是事件最值得交易平台、托管方和桥运营者复盘的部分：代码审计不能替代出入金限额、异常行为检测、延迟结算、离线授权及大额人工复核。任何单一控制都不应拥有把近乎全部储备一次性释放的能力。
恢复不等于风险已经结束
截至9月11日的独立报道，Liquid已恢复出块和普通交易，但兑出仍处于暂停状态，Elements v23.3.4已部署，储备修复和最终恢复仍在进行。因而，“网络恢复”不能被简化成“所有功能和1:1兑付均已完全恢复”。用户应分别核对链上交易是否可用、交易平台是否开放L-BTC充提、官方兑入兑出状态以及储备缺口的处理安排。
Blockstream还发布了专门的钓鱼警示。事件期间出现冒充Liquid、Blockstream或客服的“安全升级”“赔付登记”“资产迁移”消息。官方明确表示，用户不需要通过陌生链接输入助记词、PIN或发送资金。任何声称必须转账才能恢复或领取赔付的通知，都应通过官方域名和交易平台公告单独核验。
对交易者与交易商的影响
对L-BTC持有者而言，关键风险不是比特币主网本身，而是包装资产的储备、兑出可用性和服务方承诺。持仓价值与可赎回性可能在事故期间出现差异。用户应保存余额截图、存取款记录、交易哈希、平台公告和客服往来，并避免在流动性受限时依据未经核验的场外报价做决定。
对交易平台、经纪商和托管机构而言，应将L-BTC与原生BTC视为不同风险资产，分别审查储备证明、桥状态、兑出路径、对手方敞口和暂停规则。若产品页面只显示“BTC”而未清楚说明实际交付的是L-BTC或其他包装资产，风险披露也需要重新检查。
TraderVote观察
这次事件揭示的不是单一代码错误，而是验证层、自动兑出和储备治理之间的耦合风险。约85%的资金返还显著降低了即时缺口，但不等于事件已经结案；剩余约598.5 BTC、兑出恢复条件、储备补足方式、独立审计及法律追偿仍是必须持续跟踪的事项。
在最终技术报告和司法结论发布前，稳妥表述应是：漏洞利用、约4,000枚无支持L-BTC的生成、约3,996 BTC兑出以及3,400 BTC返还均有公开资料支持；责任方身份、剩余资金归属和最终损失仍待确认。
信息来源
SideSwap，“Statement on the Liquid Network incident of 6 September 2026”，2026年9月9日发布，访问于2026年9月13日：https://testnet.sideswap.io/news/statement-on-the-liquid-network-incident-of-6-september-2026/
Blockstream，“Phishing Alert: Do Not Act on Unsolicited Liquid or Blockstream Messages”，2026年9月9日发布，访问于2026年9月13日：https://blog.blockstream.com/phishing-alert-do-not-act-on-unsolicited-liquid-or-blockstream-messages/
Chainalysis，“How The $320M Exploit of Liquid Network Went Down”，2026年9月9日发布，访问于2026年9月13日：https://www.chainalysis.com/blog/320m-exploit-liquid-network/
The Block，Liquid事件最新恢复与资金追踪报道，2026年9月11日发布，访问于2026年9月13日：https://www.theblock.co/news/ecosystems/2026-09-11-return-the-bitcoin-blockstream-refuses-ransom-demand-for-remaining-600-btc-from-liquid-exploit-414247
本文由衡远根据截至2026年9月13日可核验的公开资料独立编写。安全调查、资金追回和服务恢复仍在推进，后续状态应以官方更新及可验证链上记录为准。本文不构成投资、法律或网络安全建议。
读者讨论
评论（0）
登录后即可参与讨论。
登录暂时没有公开评论，欢迎参与讨论。