ボルツは、Bitcoinのメインチェーン、ライトニングネットワーク、およびリキッド間のスワップをルーティングする非預託ブリッジであり、月曜日にそのサービスを無期限に停止しました。同社は、インフラに対する数か月にわたる自動化されたAI支援攻撃が、修正版の提供速度を上回ったと説明しています。
Boltzは8月3日午前5時54分（ET）、理由を説明せずにスワップサービスを一時停止しました。約6時間後の追加声明で、同チームはこの一時停止が「別途通知があるまで継続する」とし、数か月にわたる侵入のパターンを説明しました。
「過去数か月の間、当社のインフラに対する自動化されたAI支援のプロービングが着実に増加し、複数の攻撃を対処してきました。」とチームは記しました。「それぞれの攻撃は封じ込められましたが、パターンは明確です。攻撃者は、私たちの規模のチームが見つけ出しパッチを適用するよりも速く繰り返しています。」
シャットダウンは、Bull BitcoinやAquaなどのウォレットにおけるLightningおよびLiquid支払いのスワップルートを遮断し、AIツールを装備した攻撃者から公開コードベースを守る小さなチームに対する、オープンソース開発者たちの間で高まっていた恐怖に名前を付けた。
チームは、最近の数日間で「複数の資源豊富なグループに積極的に標的とされている」と感じ、自社のセキュリティスキャンを確認した結果、「Boltzスワップを安全に再有効化することはできない」と述べました。
「私たちが見ているのは、オープンソーススタック上で運用されるBitcoinサービスにおける大きなパラダイムシフトであり、慎重な分析が必要です。」という声明は述べています。「スワップサービスがまもなく再開されると期待しないでください。」
損失は私たちだけのものでした
Boltzは、その脆弱性によって会社が損失を被ったが、アトミックスワップの設計によりユーザーはスワップの全期間にわたり自らのコインを制御しているため、ユーザーの資金は危険にさらされなかったと述べた。
明確に述べますが、ユーザーの資金は一度もリスクにさらされていません。Boltzは設計上非預託型です。また、完全に自社資金で運営しているため、損失は私たち自身のものでした。
Boltz APIは、進行中のスワップに対する返金を協調的に処理するためにオンラインのまま維持されており、チームは単独での返金がそのインフラなしでも機能することを確認しました。
開示は、8月1日の通知を再構成したもので、Boltzは「EVM統合におけるバグ」を理由にUSDT、USDC、TBTC、WBTC、RBTCのEVMスワップを無効化し、Lightning、Liquid、およびオンチェーンBTCスワップは通常通り動作しているとユーザーに保証した。
Boltz 2019年4月にリリースされ、Bitcoinのレイヤー全体でのデフォルトのスワップ基盤となり、Rootstock、Liquidとメインチェーン間のチェーンスワップ、BTCPay Serverプラグイン、およびTron、Solana、EVMチェーン上のステーブルコインスワップを追加しました。
ウォレットがレールを奪い合う
Boltzをバックエンドに利用するウォレットは数時間以内に動き出した。Bull BitcoinのCEOであるフランシス・プーリオは、同社が「直ちに優先順位を変更」して、ウォレット利用者のためのLightning支払いとLiquidからBitcoinへのスワップを復旧すると述べ、その間はこれらの機能が説明なしに失敗する可能性があると警告した。Bull BitcoinはLiquidフェデレーションのメンバーであるため、ユーザーの資金がLiquid上に留まることはないという。
「私はこの状況を放置しません。どんな代償を払っても、これを解決します」とポリオは書きました。
Aquaウォレットを開発するJAN3のCEOであるサムソン・モウは、LiquidとLightningのスワップを復元することがチームの最優先事項であり、Aquaは「Boltzのインフラストラクチャの問題に対処するための支援を提供した」と述べた。彼は、Aqua上のユーザー資金は安全であり、ユーザーの管理下にあると述べた。
Boltzのオープンソーススタックを独自に実行する Lightning ウォレット ZEUS は、それもオフラインにしました。「私たちも swaps.zeuslsp.com のインスタンスを同様に対応します」とチームは記しました。
Bitcoin教育者BTC Sessionsは即時の被害を要約した：Boltzを使用したLightningスワップのウォレットは「今後、期待通りに機能しなくなる」が、Liquidトランザクション自体は引き続き動作する。
'The Token War'
この一時停止は、ビットコインのセキュリティにとって数年で最悪の週の真っ只中に発生しました。2021年のファームウェアのバグによりシードフレーズが推測可能になり、Coldcardハードウェールウォレットが攻撃された結果、7月30日以降で約$114百万のBTCが流失しました。そして、4回目の盗難の波が月曜日に発生しました。
ポリオはこの二つの出来事の間に明確な線を引いた。「まず、Coldcardの脆弱性が悪用された。そして今、Lightningインフラの重要な部分がオフラインになった。私たちは間違いなくトークン戦争で劣勢に立たされている。」
ビットコインの研究・開発非営利団体Vinteumの執行董事であるルカス・フェレイラは、このエピソードはビットコインのインフラ構築者が直面するリソースの格差を示していると述べた。「Boltzには優れたチームがいるが、彼らはますます高度化し、AIを活用したハッカー集団と対峙している」と彼は記した。「私たちのインフラを安全でレジリエントに保ちたいなら、オープンソース分野へのさらなる資金提供が必要だ。」