Liquid Network攻击者已归还3400枚BTC，但仍保留598.5枚BTC，Immunefi称该行为已构成盗窃。事件涉及约4000枚BTC，部分归还未消除白帽边界争议与链上安全信任影响。
Liquid Network相关攻击事件出现阶段性进展。根据crypto.news披露的信息，攻击者已归还3400枚BTC，但仍保留598.5枚BTC。针对尚未归还的部分，Immunefi明确表示，这一行为已经构成盗窃。这意味着，虽然大额资金归还已经发生，但事件并未因此自动结束，仍存在需要继续解决的未决事项。部分归还的事实与剩余资金未归还的事实同时存在，构成了当前事件的基本状态。
此次事件涉及的主体包括Liquid Network、实施攻击并归还部分资金的一方，以及作出定性判断的Immunefi。crypto.news报道显示，攻击者涉及的资金规模约为4000枚BTC，其中已归还部分占大多数，但仍有资金未被归还。对Liquid Network而言，这不仅是单一安全事件，也关系到网络用户对资产安全的信任。当攻击者归还大部分BTC后仍保留部分资金时，外界关注点会从“是否归还”转向“剩余部分为何未归还”以及“该行为如何定性”。这两个问题分别对应着追索进程和责任边界。
从资金结构看，3400枚BTC与598.5枚BTC合计约3998.5枚，与“约4000枚BTC”的规模基本一致。已归还部分占据绝大多数，但剩余部分仍然构成未决敞口。部分归还降低了直接资金缺口，却并未消除事件影响。安全事件的处理不仅涉及金额回收，还涉及行为定性和用户信任恢复。在仍有资金未归还的情况下，事件风险并未完全解除。尤其当一笔重大安全事件中的大部分资金已被归还时，剩余未归还部分虽然占比不高，却可能成为决定事件性质的关键。
本次事件的焦点集中在白帽行为的边界。攻击者归还了大部分BTC，但仍保留部分资金，这是否还能被视为白帽行为，成为争议所在。原始素材提到，攻击者保留资金的行为引发白帽边界争议，并可能影响用户对链上安全的信任。Immunefi对此给出了否定性判断，认为保留资金的行为已构成盗窃。这一表述说明，部分归还并不能自动覆盖未归还部分的责任认定，也不能将事件自动归入白帽测试或安全研究范畴。换句话说，归还行为本身不能消解对未归还部分的追责。
从事件发展顺序看，目前能够确认的事实集中在几个节点：攻击者已归还3400枚BTC；仍保留598.5枚BTC；事件涉及资金规模约4000枚BTC；Immunefi已将保留资金的行为定性为盗窃。除此之外，现有披露信息尚未包含更多处置安排、追索进展或安全修复细节。这意味着事件处于“大部分资金已归还、剩余部分尚未解决”的阶段，后续走向仍取决于剩余资金是否归还，以及相关方是否会采取进一步措施。在当前阶段，已归还与未归还之间的对比，是理解事件性质的重要线索。
对Liquid Network用户而言，最直接的信息是攻击者已经归还大部分BTC，但仍有部分BTC未归还。链上安全事件的影响通常不会只停留在直接损失数字上，还会延伸到用户对资产保护机制、响应效率和后续追索能力的判断。在剩余资金尚未归还、Immunefi又作出盗窃定性之后，这一事件仍可能继续影响用户对Liquid Network资产安全的信任。部分归还带来的积极信号，与剩余未归还部分带来的未决风险同时存在。用户需要面对的不只是某一笔资金能否追回，还包括整个资产安全体系在异常情况下的可靠性。
需要关注的是，事件涉及约4000枚BTC，属于重大安全事件。即便归还比例较高，安全事件的严重性也不会仅凭归还部分而被完全抵消。攻击者保留资金的行为不仅产生实际资金缺口，还可能削弱用户对链上安全边界的稳定预期。如果部分归还之后仍可保留一部分资金且不被追责，白帽行为与盗窃之间的界限会变得更加模糊；而Immunefi的定性则尝试给出更明确的边界判断。对于安全事件的观察者来说，这一案件提供了一个具体情境：部分归还之后的剩余资金，应当依据什么标准进行定性和追索。
后续关注方向仍集中在几个方面：攻击者是否会归还剩余部分；Immunefi的盗窃定性是否会推动进一步追索或处置；Liquid Network是否会披露更多安全修复与用户资产保护安排；以及行业如何界定白帽归还与盗窃之间的边界。就目前披露信息而言，事件尚未完全收束，剩余资金的归属和定性仍是核心变量。相关进展将取决于剩余资金是否归还，以及各方对盗窃定性如何回应。在更多信息公布之前，该事件的最终结果仍存在不确定性。
