Boltz, некастодиальный мост, позволяющий пользователям обменивать средства между основной цепочкой Bitcoin, Lightning Network и sidechain Liquid, 3 августа без срока возобновления отключил свои сервисы. Причина: месяцы автоматизированных, с использованием ИИ, атак на инфраструктуру, которые небольшая команда не успевала устранять.
Средства пользователей не были скомпрометированы благодаря некастодиальной архитектуре платформы, построенной на хеш-временных блокирующих контрактах. Однако компания сама понесла убытки от ограниченных эксплойтов, и последствия остановки распространяются на каждый кошелек и сервис, которые полагались на Boltz как на инфраструктуру для межуровневых транзакций bitcoin.
Что произошло и кто затронут
Атаки, как сообщается, усиливались в течение июля и в начале августа, с резким ростом в дни непосредственно перед объявлением о прекращении работы. Болтц описал ситуацию как «крупный сдвиг парадигмы» для открытых сервисов bitcoin — фраза, которая предполагает, что команда не ожидает быстрого возвращения к прежнему состоянию.
Непосредственными последствиями приостановки стали Aqua и Bull Bitcoin — два кошелька, интегрировавших функционал обмена Boltz для обеспечения бесшовных переходов между Lightning и Liquid. Теперь пользователям необходимо найти альтернативные способы осуществления транзакций между слоями.
Boltz — это полностью автономная операция, что означает отсутствие венчурного капитала, на который можно было бы положиться в случае непредвиденных обстоятельств. Убытки от атак, хотя и были ограничены достаточно, чтобы защитить пользователей, всё же ударили по самофинансируемой команде там, где это наиболее болезненно: по операционному бюджету, который обеспечивает работу и выпуск кода.
Атаки с использованием ИИ: новый вектор угроз
Для открытых проектов угроза усиливается. Их исходные коды открыты по дизайну, что обычно является преимуществом, а не недостатком. Большее количество глаз, обращающих внимание на код, означает больше людей, способных выявлять уязвимости. Но когда ИИ может сканировать те же открытые кодовые базы и генерировать стратегии эксплуатации со скоростью машины, соотношение меняется. Прозрачность, которая делает открытые проекты надежными, также делает их более привлекательной целью для автоматизированного сбора разведданных.
Сложная неделя для безопасности bitcoin
Закрытие Boltz не произошло на пустом месте. В ту же неделю произошел крупный эксплойт аппаратного кошелька Coldcard, который, по сообщениям, похитил примерно 114 миллионов долларов США из аккаунтов пользователей, начиная примерно с 30 июля. Два значительных инцидента безопасности на уровне Bitcoin в течение нескольких дней — это тот тип совпадения, который вызывает беспокойство во всей экосистеме.
Некастодиальная архитектура Boltz защитила пользователей от прямой потери средств в данном случае, что является значимым отличием. Однако операционные сбои реальны и имеют серьезные последствия.
Что это означает для инвесторов и пользователей слоя Bitcoin
Для всех, кто полагался на Boltz для регулярных обменов между Lightning и Liquid, первоочередная задача — найти альтернативы. Boltz занял нишу именно потому, что немногие другие сервисы предлагали ту же комбинацию некастодиальной безопасности и гибкости между уровнями.
Boltz был единственной точкой отказа для нескольких значимых кошельков, включая Aqua и Bull Bitcoin, и эта зависимость только что проявилась.
Единственное преимущество, если можно так выразиться, заключается в том, что некастодиальная архитектура Boltz сработала точно так, как и было задумано. Средства пользователей остались в безопасности, даже когда сама платформа была скомпрометирована. Это сильный аргумент в пользу модели хеш-временных блокирующих контрактов и некастодиальных принципов проектирования в целом.