Boltz, некастодиальный мост, обеспечивающий обмен между основной цепочкой bitcoin, Lightning Network и Liquid, отключил свою службу на неопределенный срок в понедельник, заявив, что месяцы автоматизированных, поддерживаемых ИИ атак на свою инфраструктуру опережают его способность выпускать исправления.
Boltz впервые отключил свои сервисы обмена в 5:54 по восточному времени 3 августа без объяснения причин. В последующем заявлении примерно шесть часов спустя команда сообщила, что приостановка продлится «до дальнейшего уведомления», и описала многомесячную серию вторжений.
«За последние месяцы мы наблюдали устойчивый рост автоматизированных, поддерживаемых ИИ-технологиями попыток проникновения в нашу инфраструктуру, и нам пришлось справиться с несколькими эксплойтами», — написала команда. «Каждый из них был локализован, но закономерность очевидна: злоумышленники теперь работают быстрее, чем команда нашего размера может обнаружить и устранить уязвимости».
Остановка прекращает обменные каналы, лежащие в основе платежей Lightning и Liquid в кошельках, таких как Bull Bitcoin и Aqua, и придает имя страху, который рос среди разработчиков с открытым исходным кодом: небольшие команды, защищающие публичные кодовые базы от атакующих, вооруженных инструментами на основе ИИ.
Команда сообщила, что давление усилилось в последние дни, поскольку она оказалась «активно атакуемой теми, кто, по всей видимости, является несколькими ресурсными группами», и после проверки собственных сканирований безопасности «не может ответственно повторно включить свопы Boltz».
«То, что мы наблюдаем, — это значительный смена парадигмы для сервисов bitcoin, работающих на открытой стеке, и это требует тщательного анализа», — говорится в заявлении. «Не ожидайте, что сервисы обмена возобновятся в ближайшее время.»
Потери были только наши
Болтц заявил, что эксплуатируемые уязвимости стоили компании денег, но никогда не ставили под угрозу средства пользователей, поскольку его атомарная схема обмена позволяет пользователям сохранять контроль над своими монетами на протяжении всего обмена.
Чтобы быть предельно ясными: средства пользователей никогда не находились под угрозой. Boltz по设计 является некастодиальным. И как полностью самофинансируемая компания, убытки понесли только мы, — написала команда.
API Boltz остается онлайн для совместной обработки возвратов для ожидающих обменов, и команда отметила, что односторонние возвраты работают без его инфраструктуры.
Раскрытие информации пересматривает уведомление от 1 августа, в котором Boltz отключил свои EVM-обмены — USDT, USDC, TBTC, WBTC и RBTC — сославшись на «баг в нашей интеграции EVM», при этом заверив пользователей, что обмены Lightning, Liquid и onchain BTC работают нормально.
Boltz был запущен в апреле 2019 года и стал стандартным решением для обмена на всех уровнях bitcoin, добавив Rootstock, цепочные обмены между Liquid и основной цепочкой, плагин для BTCPay Server и обмены стейблкоинов на Tron, Solana и цепочках EVM.
Кошельки спешат за рельсами
Кошельки, использующие Boltz в качестве бэкенда, были перемещены в течение нескольких часов. Фрэнсис Пулио, генеральный директор Bull Bitcoin, сказал, что компания «немедленно меняет приоритеты», чтобы восстановить платежи Lightning и обмены Liquid на bitcoin для пользователей своего кошелька, предупредив, что до этого функции будут отказывать без объяснения причин. Поскольку Bull Bitcoin является членом федерации Liquid, он сказал, что средства пользователей не застрянут на Liquid.
«Я не позволю этой ситуации затянуться. Я исправлю её, неважно, что для этого потребуется», — написал Пулуо.
Сэмсон Мау, генеральный директор JAN3, компании, стоящей за кошельком Aqua, сказал, что восстановление обменов Liquid и Lightning является приоритетом номер один для команды, и что Aqua «предложила помочь Boltz устранить проблемы в их инфраструктуре». Средства пользователей на Aqua остаются безопасными и под контролем пользователей, сказал он.
Кошелек Lightning ZEUS, который запускает собственный экземпляр открытого стека Boltz, также отключил его. «Мы следуем этому примеру с нашим экземпляром на swaps.zeuslsp.com», — написала команда.
Биткоин-образователь BTC Sessions подвел итоги немедленного ущерба: кошельки, использующие Boltz для свопов Lightning, «сейчас не будут работать, как ожидалось», в то время как сами транзакции Liquid продолжают работать.
Война токенов
Приостановка произошла посреди худшей недели для безопасности bitcoin за последние годы. Эксплуатация аппаратных кошельков Coldcard, связанная с багом прошивки 2021 года, сделавшим seed-фразы поддающимися угадыванию, привела к хищению примерно $114 млн в BTC с 30 июля, причем четвертая волна краж произошла в понедельник.
Пулио провел прямую границу между двумя событиями: «Во-первых, эксплуатация Coldcard. Теперь критически важная часть инфраструктуры Lightning вышла из строя. Мы несомненно проигрываем Токенную войну».
Лукас Феррейра, исполнительный директор некоммерческой организации Vinteum, занимающейся исследованиями и разработкой bitcoin, сказал, что этот эпизод демонстрирует нехватку ресурсов у строителей инфраструктуры bitcoin. «У Boltz отличная команда, но это небольшая команда, сталкивающаяся с все более сложными, основанными на ИИ группами хакеров», — написал он. «Нам понадобится больше финансирования для открытого исходного кода, если мы хотим, чтобы наша инфраструктура оставалась безопасной и устойчивой».