Boltz, cầu nối không kiểm soát có chức năng định tuyến các giao dịch hoán đổi giữa mainchain của bitcoin, Lightning Network và Liquid, đã tạm dừng dịch vụ vô thời hạn vào thứ Hai, cho biết hàng tháng liền các cuộc tấn công tự động được hỗ trợ bởi AI vào hạ tầng của họ đã vượt quá khả năng triển khai các bản sửa lỗi.
Boltz lần đầu tiên tạm ngừng dịch vụ hoán đổi lúc 5:54 sáng giờ ET ngày 3 tháng 8 mà không đưa ra lý do. Trong một thông báo bổ sung khoảng sáu giờ sau đó, nhóm cho biết việc tạm dừng sẽ kéo dài “cho đến khi có thông báo mới” và mô tả một mô hình xâm nhập kéo dài nhiều tháng.
“Trong vài tháng qua, chúng tôi đã ghi nhận sự gia tăng ổn định trong các cuộc thăm dò tự động, được hỗ trợ bởi AI đối với cơ sở hạ tầng của chúng tôi, và đã xử lý một số vụ khai thác,” nhóm viết. “Mỗi vụ đều được kiểm soát, nhưng mô hình này rõ ràng: kẻ tấn công hiện nay lặp lại nhanh hơn khả năng của một đội ngũ quy mô như chúng tôi trong việc phát hiện và vá lỗ hổng.”
Việc đóng cửa làm gián đoạn các kênh hoán đổi đằng sau các khoản thanh toán Lightning và Liquid trong các ví như Bull Bitcoin và Aqua, đồng thời gắn một cái tên vào nỗi lo đã gia tăng trong cộng đồng nhà phát triển mã nguồn mở: các nhóm nhỏ đang bảo vệ các cơ sở mã công khai trước những kẻ tấn công được trang bị công cụ AI.
Đội ngũ cho biết áp lực đã gia tăng trong những ngày gần đây khi họ phát hiện mình "bị nhắm mục tiêu tích cực bởi những nhóm có vẻ như nhiều nhóm có nguồn lực mạnh," và sau khi xem xét các bản quét bảo mật của chính mình, họ "không thể an toàn kích hoạt lại các giao dịch Boltz."
“Điều chúng ta đang chứng kiến là một sự thay đổi mô hình lớn đối với các dịch vụ bitcoin hoạt động trên nền tảng mã nguồn mở, và điều này cần được phân tích cẩn thận,” tuyên bố cho biết. “Đừng kỳ vọng các dịch vụ hoán đổi sẽ sớm hoạt động trở lại.”
Những tổn thất chỉ thuộc về chúng tôi
Boltz cho biết các lỗ hổng mà nó chứa đã khiến công ty mất tiền nhưng không bao giờ đặt quỹ người dùng vào nguy hiểm, vì thiết kế giao dịch nguyên tử của nó để người dùng kiểm soát đồng coin của họ trong suốt quá trình hoán đổi.
Để rõ ràng: không có khoản tiền nào của người dùng từng gặp rủi ro. Boltz được thiết kế để không giữ tài sản. Và với tư cách là một công ty tự tài trợ hoàn toàn, tổn thất chỉ thuộc về chúng tôi," nhóm viết.
API của Boltz vẫn trực tuyến để xử lý các khoản hoàn tiền cho các giao dịch hoán đổi đang diễn ra một cách hợp tác, và nhóm cho biết các khoản hoàn tiền đơn phương hoạt động mà không cần cơ sở hạ tầng của nó.
Bản tiết lộ tái hiện thông báo ngày 1 tháng 8 trong đó Boltz đã vô hiệu hóa các giao dịch EVM của nó — USDT, USDC, TBTC, WBTC và RBTC — với lý do "một lỗi trong tích hợp EVM của chúng tôi", đồng thời đảm bảo với người dùng rằng các giao dịch BTC trên Lightning, Liquid và onchain vẫn hoạt động bình thường.
Boltz ra mắt vào tháng 4 năm 2019 và phát triển thành hệ thống trao đổi mặc định trên các lớp của bitcoin, bổ sung Rootstock, các cuộc trao đổi chuỗi giữa Liquid và mainchain, một plugin cho BTCPay Server và các cuộc trao đổi stablecoin trên Tron, Solana và các chuỗi EVM.
Các ví tranh nhau tìm đường ray
Các ví sử dụng Boltz làm nền tảng backend đã di chuyển trong vòng vài giờ. Francis Pouliot, CEO của Bull Bitcoin, nói rằng công ty đang "ngay lập tức điều chỉnh lại các ưu tiên" để khôi phục các khoản thanh toán Lightning và các giao dịch chuyển đổi từ Liquid sang bitcoin cho người dùng ví, cảnh báo rằng cho đến khi đó, các chức năng này sẽ thất bại mà không có lý do giải thích. Vì Bull Bitcoin là thành viên của liên minh Liquid, ông nói, không có khoản tiền nào của người dùng sẽ bị kẹt trên Liquid.
"Tôi sẽ không để tình huống này kéo dài. Tôi sẽ khắc phục nó, bất kể phải trả giá bao nhiêu," Pouliot viết.
Samson Mow, CEO của JAN3, công ty đứng sau ví Aqua, cho biết việc khôi phục các giao dịch hoán đổi Liquid và Lightning là ưu tiên hàng đầu của đội ngũ và Aqua đã “đề nghị hỗ trợ Boltz khắc phục các vấn đề trong hạ tầng của họ.” Ông cho biết nguồn quỹ của người dùng trên Aqua vẫn an toàn và nằm dưới sự kiểm soát của người dùng.
Ví Lightning ZEUS, chạy một phiên bản riêng của bộ công cụ mã nguồn mở của Boltz, cũng đã tắt nó đi. “Chúng tôi cũng đang làm tương tự với phiên bản của mình tại swaps.zeuslsp.com,” nhóm viết.
Nhà giáo dục bitcoin BTC Sessions đã tổng hợp thiệt hại ngay lập tức: các ví sử dụng Boltz để hoán đổi Lightning "sẽ không hoạt động như mong đợi hiện nay", trong khi các giao dịch Liquid vẫn hoạt động bình thường.
'The Token War'
Việc tạm dừng diễn ra vào giữa tuần tồi tệ nhất trong nhiều năm đối với bảo mật bitcoin. Một cuộc khai thác các ví phần cứng Coldcard, bắt nguồn từ lỗi phần mềm năm 2021 khiến cụm từ hạt giống có thể đoán được, đã làm cạn khoảng $114 triệu BTC kể từ ngày 30 tháng Bảy, với làn sóng trộm cắp thứ tư xảy ra vào thứ Hai.
Pouliot đã phân biệt rõ ràng giữa hai sự kiện này: "Đầu tiên, vụ khai thác Coldcard. Bây giờ, một thành phần then chốt của cơ sở hạ tầng Lightning ngừng hoạt động. Chúng ta chắc chắn đang ở phía thua cuộc trong Cuộc chiến Token."
Lucas Ferreira, giám đốc điều hành của tổ chức phi lợi nhuận nghiên cứu và phát triển bitcoin Vinteum, cho biết sự việc này cho thấy khoảng cách nguồn lực mà các nhà xây dựng hạ tầng bitcoin đang đối mặt. “Boltz có một đội ngũ xuất sắc, nhưng đó là một đội nhỏ đang đối mặt với các nhóm tin tặc ngày càng tinh vi, được hỗ trợ bởi AI,” ông viết. “Chúng ta sẽ cần nhiều vốn hơn cho không gian mã nguồn mở nếu muốn hạ tầng của chúng ta vẫn an toàn và bền bỉ.”