Boltz, jambatan tanpa kuasa yang menghala pertukaran antara mainchain bitcoin, Rangkaian Lightning, dan Liquid, telah menangguhkan perkhidmatannya secara tidak terhad pada hari Isnin, dengan mengatakan bahawa bulan-bulan serangan automatik yang dibantu AI terhadap infrastrukturinya telah melampaui kemampuannya untuk menghantar pembaikan.
Boltz pertama kali menangguhkan perkhidmatan swapnya pada pukul 5:54 pagi ET pada 3 Ogos tanpa penjelasan. Dalam pernyataan susulan enam jam kemudian, pasukan tersebut mengatakan penangguhan itu akan berlangsung "sehingga notis lanjut" dan menggambarkan pola pelanggaran yang berterusan selama berbulan-bulan.
"Sejak beberapa bulan lalu, kami telah melihat peningkatan berterusan dalam pengujian automatik yang dibantu AI terhadap infrastruktur kami, dan kami telah menangani beberapa eksploitasi," tulis pasukan itu. "Setiap serangan telah dikawal, tetapi coraknya jelas: penyerang kini berputar lebih pantas daripada pasukan seukuran kami boleh jumpa dan baiki."
Penghentian itu memutus saluran pertukaran di belakang pembayaran Lightning dan Liquid dalam dompet seperti Bull Bitcoin dan Aqua, serta memberikan nama kepada ketakutan yang telah membesar di kalangan pembangun sumber terbuka: pasukan kecil yang membela pangkalan kod awam melawan penyerang yang dilengkapi alat AI.
Pasukan mengatakan tekanan meningkat dalam beberapa hari terakhir kerana ia mendapati dirinya "sengaja ditargetkan oleh apa yang kelihatan seperti beberapa kumpulan yang berpunya," dan setelah mengkaji pemeriksaan keselamatan sendiri, ia "tidak boleh menghidupkan semula pertukaran Boltz dengan bertanggungjawab."
"Apa yang kita lihat ialah perubahan paradigma besar untuk perkhidmatan bitcoin yang beroperasi pada stak sumber terbuka, dan ia memerlukan analisis yang teliti," kata pernyataan itu. "Jangan jangka perkhidmatan swap akan bermula semula dalam masa terdekat."
Kerugian Itu Hanya Milik Kami Sendiri
Boltz mengatakan eksploitasi yang terkandung di dalamnya mengakibatkan kerugian kewangan kepada syarikat tetapi tidak pernah menjejaskan dana pengguna, kerana reka bentuk pertukaran atomnya membolehkan pengguna mengawal koin mereka sepanjang pertukaran.
Untuk ditegaskan: tiada dana pengguna yang pernah berisiko. Boltz direka secara bukan kustodian. Dan sebagai syarikat yang sepenuhnya dipbiayai sendiri, kerugian itu hanya menjadi tanggungjawab kami, " tulis pasukan itu.
API Boltz masih dalam talian untuk memproses pengembalian dana untuk pertukaran yang sedang berlangsung secara kooperatif, dan pasukan mencatat bahawa pengembalian dana sepihak berfungsi tanpa infrastrukturinya.
Pengungkapan tersebut mengubah notis 1 Ogos di mana Boltz menonaktifkan pertukaran EVMnya — USDT, USDC, TBTC, WBTC dan RBTC — dengan mengutip "sebuah ralat dalam integrasi EVM kami" sambil menjamin pengguna bahawa pertukaran Lightning, Liquid dan BTC onchain berjalan seperti biasa.
Boltz diilangkan pada April 2019 dan berkembang menjadi peranti pertukaran laluan utama di seluruh lapisan bitcoin, menambahkan Rootstock, pertukaran rantai antara Liquid dan mainchain, plugin BTCPay Server, dan pertukaran koin stabil di Tron, Solana, dan rantai EVM.
Dompet Mencari Rel
Dompet yang bergantung pada Boltz sebagai latar belakang bergerak dalam beberapa jam. Francis Pouliot, CEO Bull Bitcoin, said syarikat itu "segera mengubah keutamaan kami" untuk memulihkan pembayaran Lightning dan pertukaran Liquid-ke-bitcoin bagi pengguna dompetnya, memperingatkan bahawa sehingga itu berlaku, fungsi-fungsi tersebut akan gagal tanpa penjelasan. Kerana Bull Bitcoin adalah ahli federasi Liquid, katanya, dana pengguna tidak akan terperangkap di Liquid.
"Saya tidak akan membiarkan situasi ini berpanjangan. Saya akan memperbaikinya, apa pun yang perlu dilakukan," tulis Pouliot.
Samson Mow, CEO JAN3, syarikat di sebalik dompet Aqua, berkata memulihkan pertukaran Liquid dan Lightning adalah keutamaan utama pasukan dan Aqua telah "menawarkan bantuan kepada Boltz untuk menangani isu dalam infrastruktur mereka." Dana pengguna di Aqua masih selamat dan di bawah kawalan pengguna, katanya.
Dompet Lightning ZEUS, yang menjalankan contoh sendiri dari stak sumber terbuka Boltz, menariknya secara dalam talian juga. "Kami mengikuti langkah yang sama dengan contoh kami di swaps.zeuslsp.com," tulis pasukan itu.
Pendidik bitcoin BTC Sessions meringkaskan kerosakan segera: dompet yang menggunakan Boltz untuk pertukaran Lightning "tidak akan berfungsi seperti yang dijangka sekarang," sementara transaksi Liquid itu sendiri terus berfungsi.
Perang Token
Penangguhan ini berlaku di tengah minggu terburuk bagi keselamatan bitcoin dalam bertahun-tahun. Eksploitasi dompet peranti keras Coldcard, yang disebabkan oleh kelemahan firmware tahun 2021 yang membuat frasa benih boleh diteka, telah menguras kira-kira $114 juta dalam BTC sejak 30 Julai, dengan gelombang keempat pencurian menyerang pada hari Isnin.
Pouliot menarik garis antara dua peristiwa tersebut secara langsung: "Pertama, eksploit Coldcard. Sekarang, satu komponen penting infrastruktur Lightning menjadi tidak aktif. Kita tanpa diragukan lagi berada di pihak yang kalah dalam Perang Token."
Lucas Ferreira, pengarah eksekutif organisasi bukan keuntungan Vinteum yang berfokus pada penyelidikan dan pembangunan bitcoin, berkata bahawa episod ini menunjukkan jurang sumber yang dihadapi oleh pembina infrastruktur bitcoin. "Boltz mempunyai pasukan yang cemerlang, tetapi ia adalah pasukan kecil yang menghadapi kumpulan perompak yang semakin canggih dan bertenaga AI," tulisnya. "Kita akan memerlukan lebih banyak pendanaan untuk ruang sumber terbuka jika kita ingin infrastruktur kita tetap selamat dan tahan banting."