币圈界报道：

Liquid侧链遭恶意利用：伪造代币引发超3亿美元资产外流

9月6日，区块链安全机构CertiK披露，Liquid侧链存在一处可被滥用的代码缺陷，攻击者无需提供任何真实比特币作为担保，便成功生成了约4,000枚未经背书的L-BTC代币。随后，该攻击者通过侧链的peg-out机制将这些虚假代币兑换为真实比特币，导致联盟储备中超过95%的比特币被转移至外部地址。事件发生后，Liquid立即暂停运营以进行应急响应。

跨链提取流程中的授权机制被绕过

Liquid是一个由Blockstream与多家交易所联合维护的去中心化程度有限的比特币侧链，其原生代币L-BTC始终由联盟成员共管的多重签名钱包全额支撑。用户若要将L-BTC兑换回主网比特币，需依赖“提取授权密钥”（PAK）完成peg-out操作。常规流程要求用户通过注册过的第三方平台发起请求，由联盟成员或指定交易所处理。

然而，像SideSwap这类服务在执行过程中允许客户直接提交任意比特币地址，并自动完成资金划转。这一设计虽提升了用户体验，却也使系统难以甄别伪造代币。Galaxy Digital首席研究主管Alex Thorn在《Uneasy Money》播客中指出，此类平台实际上消解了原本应存在的访问控制逻辑，质疑其开放性是否合理：“为何允许任何人携带一个地址，就能从Liquid提取资金并自由分配？”

官方文档明确表示，普通用户通常通过联盟成员或主流交易所如Bitfinex和SideSwap完成提取操作，交付L-BTC并指定接收地址，系统将在验证完成后释放对应数量的BTC。

漏洞根源与技术影响分析

CertiK调查确认，此次攻击源于“范围证明验证缓存中存在模糊的缓存键编码”问题。该缺陷使得攻击者可通过预热缓存并构造伪造交易，绕过完整的有效性校验，从而实现无抵押代币生成。经估算，共计产生3,998.5枚无效L-BTC，按当时市价计算价值约为3.187亿美元。

尽管Liquid和SideSwap均声明其核心系统未受侵入，且提取流程本身按设计运行，但系统无法区分合法与伪造代币。在多方协商下，自称白帽黑客的攻击者主动归还了3,400枚比特币，保留剩余598.5枚。

关键术语说明与行业反思

Liquid是由Blockstream主导、多家交易所共同运营的比特币侧链，旨在实现高速、保密且可互操作的比特币流转，其核心形式为L-BTC代币。SideSwap则是联盟成员之一，提供非托管原子交换及peg-out服务，协助用户完成跨链资金提取。

此次事件暴露出联邦式区块链在复杂权限控制与自动化流程之间的张力。尽管协议设计初衷是防范单点失效风险，但在实际应用中仍可能因接口开放性而引入新威胁。当前，Liquid联盟已启动漏洞修复工作，并着手审查所有涉及提取的操作逻辑，以强化未来系统的安全性边界。