Liquid Network遭3.2亿美元利用：攻击者自称“好人”不能替代资产控制与证据核验

2026年9月7日，CoinDesk报道称，一条被交易所使用的比特币网络遭到价值3.2亿美元的漏洞利用，攻击者随后声称自己是“好人”。同日，The Register将涉事网络明确指向Liquid Network，Bloomberg也报道了约3.2亿美元比特币被转走的事件。站在安全应急负责人的角度，这起事件的首要问题不是如何解释攻击者的自我定位，而是立即确认受影响网络、资产控制状态、交易所暴露范围以及后续资金处置条件。

现有素材没有说明漏洞入口、被盗资产的完整构成、具体受影响交易所、攻击者是否仍掌握资金，也没有给出已经退款或达成协议的证据。因此，应急响应必须严格区分“媒体已确认的信息”“攻击者单方面说法”和“仍待技术验证的事实”。

受攻击的是Liquid Network，不应误写成比特币主网失守

报道标题容易引发一种危险误解：比特币网络本身遭到攻破。但交叉信息指向的是Liquid Network，一条被交易所使用的网络。仅凭“Bitcoin network”这一表述，不能进一步推导比特币主网共识、用户钱包或所有交易所均受到影响。

这一区分直接决定应急边界。交易平台首先要确认自己是否接入Liquid Network，是否运行相关节点、充值地址或提现通道，是否持有与该网络相关的用户资产，而不是无差别暂停全部比特币业务。处置范围过窄可能放任风险继续扩散，范围过宽则会制造不必要的市场恐慌，并破坏正常资金流转。

安全团队应迅速形成三份名单：直接使用该网络的系统与账户、通过合作方间接接入的业务、仅涉及比特币主网且暂无异常证据的业务。名单必须由链上记录、节点日志、钱包配置和合作方确认共同支撑，不能根据新闻标题直接下结论。

3.2亿美元是事件规模入口，不是最终损失结论

CoinDesk、Bloomberg与The Register的报道均把约3.2亿美元作为核心数字，但安全响应不能把媒体金额直接写入内部损失账本。链上资产价值会随计价时点变化，异常转移金额、攻击者实际控制金额、用户负债缺口和最终不可追回损失也不是同一概念。

应急团队需要建立独立的资产快照，以首次异常交易前的账本状态为基准，逐笔标记异常交易、关联地址、资产类型及当前控制权。对外披露时，则应清楚区分“涉及金额”“已确认被转移金额”“已冻结或仍可控制金额”和“最终损失”。在现有信息不足的情况下，最稳妥的表达是报道所称事件规模约为3.2亿美元，而不是提前宣布全部资金永久损失。

交易所还应核对内部负债是否受到影响。网络侧发生大额异常，并不自动等于每一家接入平台都出现同额用户损失；反过来，即便平台热钱包没有直接转出，也不能排除充值确认、提现结算或资产映射状态出现偏差。资产核算必须穿透到每一个用户余额与链上头寸之间的对应关系。

“好人”声明不能成为恢复业务的安全依据

攻击者自称“好人”，最多只能被记录为事件中的一项外部声明，不能被视为白帽身份认证，更不能代替资金返还、漏洞说明和法律授权。应急现场最忌讳因为对方释放善意信号，就降低监控强度、恢复通道或撤销保全措施。

判断对方是否可能进行善意披露，至少要观察三个可验证动作：是否能够通过控制相关地址完成签名证明，是否停止进一步转移资产，是否通过可留痕渠道提供足以复现和修复问题的信息。即便这些动作出现，也仍需由法律、合规和技术团队共同确定沟通边界。

任何谈判都不应使用员工个人账号或临时社交媒体私聊。平台应指定单一联络窗口，完整保存消息、签名、时间戳和附件原件。未经验证的“退款地址”不得直接采用，更不能在未完成归属核验时向陌生地址支付所谓奖励，否则可能造成二次资产损失，并污染后续调查证据。

交易所应立即收紧Liquid相关充提与确认流程

对于直接使用Liquid Network的交易所，第一阶段目标是阻断新增风险，而不是尽快恢复服务。平台应评估是否暂停相关充值和提现、提高人工复核级别，并禁止自动归集系统继续处理来源不明或状态异常的资产。是否暂停比特币主网业务，则应根据实际依赖关系决定，不宜把两者混为一谈。

钱包与账务团队要同时开展对账。只检查链上余额并不足够，还要检查充值是否被错误记账、提现是否已经扣除用户余额却未安全结算、内部归集是否把异常资产转入其他地址。对无法确认最终状态的交易，应设置独立隔离标记，避免客服或运营人员手工补账后造成重复支付。

如果平台通过托管商、做市商或其他交易所间接使用该网络，还应立即索取书面状态说明，包括对方是否暂停服务、哪些地址受到影响以及何时生成资产快照。合作方的一句“未受影响”不能直接关闭告警，必须与本平台的交易记录和余额变化交叉验证。

保全证据必须与资产处置同步推进

大额链上事件发生后，团队往往把全部注意力放在追踪资金，却忽略节点日志、钱包操作记录和权限变更信息可能被覆盖。应急负责人应立即冻结日志保留策略，保存节点状态、交易广播记录、签名请求、管理后台操作、密钥调用审计以及合作方通知原文。

证据副本应采用只读方式保存，并记录提取人员、提取时间和校验结果。生产环境中的修复操作也要单独留痕，明确谁批准了暂停、升级、地址封禁或参数调整。没有完整时间线，团队后续很难判断异常交易究竟源于网络漏洞、接入实现问题，还是内部控制环节失效。

与此同时，资金追踪不能替代根因分析。当前素材没有披露攻击路径，因此任何关于私钥泄露、代码缺陷或内部人员行为的判断都属于推测。调查报告应保留“未知”状态，直到技术证据足以支持具体结论。

恢复服务要满足可验证条件，而不是等待舆情降温

Liquid Network相关服务何时恢复，不能由攻击者声明或市场情绪决定。最低恢复条件应包括：异常路径已经被阻断，受影响资产范围完成核对，新交易不会重现同类问题，交易所账本与链上状态能够重新对平，并且监控系统可以识别新的异常转移。

恢复过程也不应一步到位。平台可以先开放查询，再小范围恢复充值或提现，并设置更严格的额度、人工审核和监控阈值。每扩大一个业务范围，都要重新核验资产与日志，而不是把“系统可以运行”误当成“风险已经解除”。

这起约3.2亿美元事件给安全团队最直接的提醒是：攻击者的身份叙事不能决定处置等级，媒体标题也不能替代技术边界。真正可靠的应急工作，必须把网络、交易所、钱包、账本与用户资产逐层拆开，用可验证证据确认影响，再决定冻结、沟通和恢复的顺序。