Boltz, bitcoin ana zinciri, Lightning Network ve Liquid arasında takasları yönlendiren non-kustodiyal köprü, Pazartesi günü altyapısına yönelik aylardır süren otomatik, AI destekli saldırıların düzeltmeleri geliştirmeye yetmediğini belirterek hizmetini süresiz olarak devre dışı bıraktı.
Boltz, 3 Ağustos'ta ET saat 05:54'te açıklama yapmadan swap hizmetlerini kapattı. Yaklaşık altı saat sonra yayınlanan bir sonraki açıklama'da ekip, askıya alma işleminin "ilave bildirimlere kadar" süreceğini ve aylarca süren bir sızıntı desenini açıkladı.
Takım, "Geçtiğimiz aylar boyunca altyapımız üzerinde otomatikleştirilmiş, AI destekli sızma girişimlerinde sürekli bir artış gözlemledik ve birkaç sızıntıyla karşılaştık," yazdı. "Her biri kontrol altına alındı, ancak desen açık: saldırganlar artık bizim boyutumuzdaki bir takımla bulup onarabileceğimizden daha hızlı yinelemeye başladığında."
Kapatma, Bull Bitcoin ve Aqua gibi cüzdanlarda Lightning ve Liquid ödemelerinin arka plandaki takas hatlarını kesiyor ve açık kaynak geliştiriciler arasında artan bir korkuya isim veriyor: AI araçlarıyla silahlanmış saldırganlara karşı açık kaynak kod tabanlarını savunan küçük ekipler.
Takım, son günlerde kendisini "görünüşe göre birden fazla yetenekli grup tarafından aktif olarak hedef alındığını" fark ettiğinden dolayı baskının arttığını söyledi ve kendi güvenlik taramalarını inceledikten sonra "Boltz takaslarını sorumlu bir şekilde yeniden etkinleştiremez."
"Aldığımız veriler, açık kaynaklı bir yığın üzerinde çalışan Bitcoin hizmetleri için büyük bir paradigmalar değişimi gösteriyor ve bu dikkatli bir analiz gerektiriyor," ifadesinde yer aldı. "Swap hizmetlerinin yakında yeniden başlatılmasını beklemeyin."
Kayıplar Sadece Bizimdi
Boltz, içerdiği istismarların şirket için maliyet oluşturduğunu ancak atomik takas tasarımı nedeniyle kullanıcıların takas boyunca koinlerini kontrol altında tutmaları nedeniyle kullanıcı fonlarının güvenliğinde hiçbir zaman tehdit oluşturmadığını söyledi.
Açıkçası: hiçbir kullanıcı fonu asla risk altında kalmadı. Boltz, tasarımı itibarıyla non-custodial'dir. Ve tamamen kendi kaynaklarıyla finanse edilen bir şirket olarak, kayıplar yalnızca bizimdi," diye yazdı ekip.
Boltz API, aktif takaslar için iade işlemleri kooperatif olarak işlemeye devam ediyor ve ekip, tek taraflı iadelerin altyapısız şekilde çalıştığını belirtti.
Açıklama, 1 Ağustos duyurusu'nu, Boltz'un "EVM entegrasyonumuzda bir hata" nedeniyle EVM takaslarını — USDT, USDC, TBTC, WBTC ve RBTC — devre dışı bıraktığını, ancak Lightning, Liquid ve onchain BTC takaslarının normal şekilde çalıştığını garanti ettiğini yeniden ifade eder.
Boltz April 2019'da başlatıldı ve bitcoin katmanları boyunca varsayılan takas altyapısı haline geldi; Rootstock, Liquid ile ana zincir arasında zincirler arası takaslar, bir BTCPay Server eklentisi ve Tron, Solana ve EVM zincirlerinde stablecoin takasları ekledi.
Cüzdanlar Raylara Sıçlıyor
Boltz'u arka uç olarak kullanan cüzdanlar saatler içinde harekete geçti. Bull Bitcoin CEO'su Francis Pouliot, dedi ki şirket, cüzdan kullanıcıları için Lightning ödemelerini ve Liquid-to-bitcoin takaslarını yeniden etkinleştirmek amacıyla "önceliklerimizi hemen değiştirmekte" ve buna kadar bu işlevlerin açıklamasız şekilde başarısız olacağını uyarıda bulundu. Bull Bitcoin, Liquid federasyonunun bir üyesi olduğundan, kullanıcı fonlarının Liquid üzerinde takılı kalacağını söyledi.
Bu durumu devam etmeye bırakmayacağım. Ne maliyetle olursa olsun, bunu çözeceğim," dedi Pouliot.
JAN3'in CEO'su Samson Mow, Aqua cüzdanının arkasındaki firma, dedi sıvı ve Lightning takaslarının yeniden etkinleştirilmesinin ekibin öncelikli görevi olduğunu ve Aqua'nın "Boltz'a altyapılarındaki sorunları gidermede yardımcı olmaya teklifte bulunduğunu". Mow, Aqua'daki kullanıcı fonlarının güvenli olduğunu ve kullanıcı kontrolünde olduğunu söyledi.
Kendi Boltz açık kaynak yığınının bir örneğini çalıştıran Lightning cüzdanı ZEUS, onu da çevrimdışı hale getirdi. "Swaps.zeuslsp.com'daki örneğimizi de takip ediyoruz," takım yazdı.
Bitcoin eğitmeni BTC Sessions hemen oluşan zararı özetledi: Boltz'u Lightning takasları için kullanan cüzdanlar "şimdi beklenen şekilde çalışmaz," ancak Liquid işlemlerinin kendisi çalışmaya devam eder.
'Token Savaşı'
Asılama, bitcoin güvenliği için yılların en kötü haftasının ortasında gerçekleşti. 2021'de bir donanım yazılım hatasından kaynaklanan ve anahtar cümlelerin tahmin edilebilir hale getiren Coldcard donanım cüzdanları exploit'i, 30 Temmuz'dan beri yaklaşık 114 milyon dolarlık BTC'yi boşalttı ve dördüncü bir hırsızlık dalgası Pazartesi günü vurdu.
Pouliot, iki olay arasında doğrudan bir sınır çizdi: "Öncelikle Coldcard istilası. Şimdi, Lightning altyapısının kritik bir parçası çevrimdışı kaldı. Kesinlikle Token Savaşı'nın kaybeden tarafındayız."
Bitcoin araştırması ve geliştirme nonprofit kuruluşu Vinteum'un yürütücü direktörü Lucas Ferreira, dedi ki, bu olay bitcoin altyapısı inşa edenlerin karşı karşıya kaldığı kaynak farkını gösteriyor. "Boltz'un harika bir ekibi var, ancak bu küçük ekip giderek daha karmaşık, yapay zeka destekli hacker gruplarıyla mücadele ediyor," yazdı. "Altyapımızın güvenli ve dirençli kalmasını istiyorsak, açık kaynak alanına daha fazla finansman ihtiyacımız olacak."