Boltz, некастодіальний міст, який забезпечує обмін між головним ланцюгом bitcoin, Lightning Network та Liquid, призупинив свою роботу на невизначений термін у понеділок, пояснивши, що місяці автоматизованих, з використанням ШІ атак на свою інфраструктуру перевищили його здатність випускати виправлення.
Boltz спочатку відключив свої сервіси обміну о 5:54 ранку за східним часом 3 серпня без пояснень. У додатковому заяві приблизно шість годин потому команда сказала, що призупинення триватиме «до подальшого повідомлення» і описала тривалий місяцями шаблон вторгнень.
«За останні місяці ми спостерігали постійний зростання автоматизованого, з використанням ШІ, дослідження нашої інфраструктури, і ми впоралися з кількома експлойтами», — написав команд. «Кожен із них був локалізований, але модель очевидна: нападники зараз швидше ітерують, ніж команда нашого розміру може знайти та виправити».
Зупинка перериває обмінні канали, що лежать в основі платежів Lightning і Liquid у гаманцях, таких як Bull Bitcoin і Aqua, і прикріплює ім’я до страху, що зростав серед розробників відкритого коду: невеликі команди, що захищають публічні кодові бази від нападників, озброєних інструментами на основі ШІ.
Команда сказала, що тиск посилився в останні дні, оскільки вона виявилася «активно ціллю того, що виглядає як кілька досвідчених груп», і після перевірки своїх власних сканів безпеки «не може відповідально знову увімкнути Boltz-обміни».
«Те, що ми спостерігаємо, — це великий зсув парадигми для сервісів bitcoin, що працюють на відкритому стеку, і це потребує уважного аналізу», — сказано у заяві. «Не очікуйте, що сервіси обміну відновляться протягом короткого часу».
Збитки були лише нашими
Boltz сказав, що експлуатації, які він містив, коштували компанії грошей, але ніколи не ставили під загрозу кошти користувачів, оскільки його дизайн атомарних обмінів залишає користувачів у контролі над своїми монетами протягом усього обміну.
Щоб бути чіткими: кошти користувачів ніколи не перебували під загрозою. Boltz за дизайном є некастодіальним. І як повністю самофінансована компанія, збитки були лише нашими, — написав команда.
Boltz API залишається онлайн, щоб обробляти повернення коштів для активних обмінів у співпраці, і команда зазначила, що односторонні повернення працюють без її інфраструктури.
Розкриття переглядає повідомлення від 1 серпня, у якому Boltz вимкнув свої EVM-обміни — USDT, USDC, TBTC, WBTC і RBTC — посилаючись на «баг у нашій інтеграції EVM», одночасно запевняючи користувачів, що обміни Lightning, Liquid і onchain BTC працювали нормально.
Boltz запущений у квітні 2019 року і став стандартним інструментом для обміну на шарах bitcoin, додавши Rootstock, обміни між Liquid і основною мережею, плагін для BTCPay Server та обміни стейблкоїнів на Tron, Solana та EVM-ланцюгах.
Гаманці шукають рейси
Гаманці, які використовують Boltz як бекенд, почали працювати протягом кількох годин. Франсіс Пулуо, генеральний директор Bull Bitcoin, сказав, що компанія «негайно змінює пріоритети», щоб відновити платежі Lightning та обміни Liquid на bitcoin для користувачів свого гаманця, попереджаючи, що до цього функції будуть збоїти без пояснень. Оскільки Bull Bitcoin є членом федерації Liquid, він сказав, що кошти користувачів не застрягнуть на Liquid.
«Я не дам цій ситуації тривати. Я виправлю її, будь-що це коштуватиме,» — написав Пулуо.
Семсон Мов, генеральний директор JAN3, компанії, яка стоїть за гаманцем Aqua, сказав, що відновлення обмінів Liquid і Lightning є найвищим пріоритетом команди, і що Aqua «запропонувала допомогти Boltz вирішити проблеми в їхній інфраструктурі». Кошти користувачів у Aqua залишаються безпечними і під контролем користувача, сказав він.
Гаманець Lightning ZEUS, який запускає власний екземпляр відкритого стеку Boltz, також відключив його. «Ми також відключаємо наш екземпляр на swaps.zeuslsp.com», — написала команда.
Біткоїн-освітник BTC Sessions підсумував негайні наслідки: гаманці, які використовують Boltz для Lightning-обмінів, «зараз не працюватимуть як очікувалося», тоді як самі транзакції Liquid продовжують працювати.
Війна токенів
Призупинення відбувається посеред найгіршого тижня з питань безпеки bitcoin за роки. Експлуатація апаратних гаманців Coldcard, що пов’язана з багом прошивки 2021 року, який зробив seed-фрази передбачуваними, вивела приблизно $114 мільйонів у BTC з моменту 30 липня, а четверта хвиля крадіжок вдарилася у понеділок.
Пулуо відмітив пряму межу між цими двома подіями: «Спочатку експлойт Coldcard. Тепер критична частина інфраструктури Lightning вийшла з ладу. Ми безперечно знаходимося на програшному боці Війни токенів».
Лукас Феррейра, виконавчий директор неприбуткової організації з досліджень та розробок bitcoin Vinteum, сказав, що цей епізод демонструє розрив у ресурсах, з яким стикаються будівники інфраструктури bitcoin. «У Boltz чудова команда, але це невелика команда, яка стикається з все більш досконалими, AI-спрямованими групами хакерів», — написав він. «Нам знадобиться більше фінансування для простору відкритого коду, якщо ми хочемо, щоб наша інфраструктура залишалася безпечною та стійкою».