Boltz, el puente no custodial que enruta intercambios entre la cadena principal de bitcoin, la Lightning Network y Liquid, desactivó su servicio indefinidamente el lunes, diciendo que meses de ataques automatizados asistidos por IA a su infraestructura han superado su capacidad para implementar soluciones.
Boltz primero desconectó sus servicios de intercambio a las 5:54 am ET el 3 de agosto sin explicación. En una declaración de seguimiento unas seis horas después, el equipo indicó que la suspensión durará "hasta nuevo aviso" y describió un patrón de intrusiones que se extiende desde hace meses.
“Durante los últimos meses hemos observado un aumento constante en la exploración automatizada asistida por IA de nuestra infraestructura, y hemos abordado varias explotaciones”, escribió el equipo. “Cada una fue contenida, pero el patrón es claro: los atacantes ahora iteran más rápido de lo que un equipo de nuestro tamaño puede encontrar y corregir.”
El cierre corta los canales de intercambio detrás de los pagos Lightning y Liquid en monederos como Bull Bitcoin y Aqua, y le asigna un nombre a un miedo que ha ido creciendo entre los desarrolladores de código abierto: equipos pequeños defendiendo bases de código públicas contra atacantes armados con herramientas de IA.
El equipo dijo que la presión se intensificó en los últimos días al encontrarse "activamente objetivo de lo que parecen ser múltiples grupos con recursos", y que tras revisar sus propios escaneos de seguridad "no puede volver a habilitar de manera responsable los intercambios Boltz".
“Lo que estamos viendo es un cambio de paradigma importante para los servicios de bitcoin que operan en una pila de código abierto, y requiere un análisis cuidadoso”, dijo la declaración. “No espere que los servicios de intercambio se reanuden pronto.”
Las pérdidas fueron únicamente nuestras
Boltz dijo que las vulnerabilidades que contenía le costaron dinero a la empresa, pero nunca pusieron en peligro los fondos de los usuarios, ya que su diseño de intercambio atómico deja a los usuarios con control de sus monedas durante todo el intercambio.
Para ser explícitos: nunca hubo riesgo para los fondos de los usuarios. Boltz es no custodial por diseño. Y como empresa completamente autofinanciada, las pérdidas fueron únicamente nuestras", escribió el equipo.
La API de Boltz permanece en línea para procesar reembolsos de intercambios en curso de forma cooperativa, y el equipo señaló que los reembolsos unilaterales funcionan sin su infraestructura.
La divulgación reformula un aviso del 1 de agosto en el que Boltz desactivó sus intercambios EVM — USDT, USDC, TBTC, WBTC y RBTC — citando "un error en nuestra integración EVM", mientras aseguraba a los usuarios que los intercambios de Lightning, Liquid y BTC en cadena estaban funcionando normalmente.
Boltz lanzado en abril de 2019 creció hasta convertirse en la infraestructura predeterminada de intercambio en las capas de bitcoin, añadiendo Rootstock, intercambios entre Liquid y la cadena principal, un plugin para BTCPay Server y intercambios de stablecoins en Tron, Solana y cadenas EVM.
Los monederos se apresuran por los raíles
Los monederos que dependen de Boltz como backend se movieron en cuestión de horas. Francis Pouliot, CEO de Bull Bitcoin, said que la empresa está "cambiando inmediatamente nuestras prioridades" para restaurar los pagos Lightning y los intercambios de Liquid a bitcoin para sus usuarios de monedero, advirtiendo que hasta entonces esas funciones fallarán sin explicación. Como Bull Bitcoin es miembro de la federación Liquid, dijo, ningún fondo de usuario quedará atrapado en Liquid.
"No dejaré que esta situación persista. Lo arreglaré, no importa lo que tome," escribió Pouliot.
Samson Mow, CEO de JAN3, la empresa detrás del monedero Aqua, said que restaurar los intercambios de Liquid y Lightning es la máxima prioridad del equipo y que Aqua "ha ofrecido ayudar a Boltz a resolver problemas en su infraestructura". Los fondos de los usuarios en Aqua permanecen seguros y bajo control del usuario, dijo.
El monedero Lightning ZEUS, que ejecuta su propia instancia de la pila de código abierto de Boltz, también lo desconectó. "Estamos siguiendo el mismo procedimiento con nuestra instancia en swaps.zeuslsp.com", escribió el equipo.
El educador de bitcoin BTC Sessions resumió el daño inmediato: los monederos que usan Boltz para intercambios Lightning "no funcionarán como se espera ahora", mientras que las transacciones de Liquid siguen funcionando.
La Guerra de los Tokens
La suspensión ocurre en medio de la peor semana para la seguridad del bitcoin en años. Una explotación de billeteras hardware Coldcard, rastreada hasta una vulnerabilidad de firmware de 2021 que hizo predecibles las frases semilla, ha vaciado aproximadamente $114 millones en BTC desde el 30 de julio, con una cuarta ola de robos que afectó el lunes.
Pouliot trazó la línea entre los dos eventos directamente: "Primero, la explotación de Coldcard. Ahora, una pieza crítica de la infraestructura de Lightning se desconecta. Sin duda estamos al final perdedor de la Guerra de los Tokens."
Lucas Ferreira, director ejecutivo de la organización sin fines de lucro Vinteum dedicada a la investigación y desarrollo de bitcoin, dijo que el episodio muestra la brecha de recursos con la que se enfrentan los constructores de la infraestructura de bitcoin. "Boltz tiene un equipo brillante, pero es un equipo pequeño enfrentándose a grupos cada vez más sofisticados de hackers impulsados por IA", escribió. "Necesitaremos más financiamiento para el espacio de código abierto si queremos que nuestra infraestructura permanezca segura y resiliente."