Boltz 是一座非託管橋樑,用於在比特幣主鏈、閃電網路和 Liquid 之間路由交換,該服務於週一無限期停用,稱數月來自動化、AI 協助的基礎設施攻擊已超出其修復能力。
Boltz 於 8 月 3 日上午 5:54(東部時間)首次 下線其交換服務,未作說明。約六小時後,該團隊在 後續聲明 中表示,此次暫停將「直至另行通知」,並描述了持續數月的入侵模式。
團隊寫道:「過去幾個月,我們觀察到對我們基礎設施的自動化、AI 協助探測持續增加,並已處理多起漏洞利用事件。每起事件都已受控,但模式十分明確:攻擊者現在的迭代速度,已快過我們這樣規模的團隊所能發現和修補的速度。」
關閉操作切斷了 Bull Bitcoin 和 Aqua 等錢包中 Lightning 和 Liquid 支付的交換通道,並為開放原始碼開發者長期以來的擔憂賦予了名稱:小型團隊正對抗攜帶 AI 工具的攻擊者,以保護公開的程式碼庫。
團隊表示,近期壓力加劇,因為他們發現自己「遭到多個看似資源豐富的團體主動針對」,並在審查自身的安全掃描後,「無法負責地重新啟用 Boltz 交換」。
該聲明表示:「我們所見到的是對基於開源堆疊運作的比特幣服務的重大範式轉變,這需要仔細分析。」、「請勿期待交換服務會很快恢復。」
損失僅由我們自行承擔
Boltz 表示,其所包含的漏洞雖使公司蒙受損失,但從未危及用戶資金,因為其原子交換設計讓用戶在交換過程中始終掌控自己的幣。
明確說明:用戶資金從未面臨風險。Boltz 從設計上就是非托管的。作為一家完全自籌資金的公司,損失僅由我們自行承擔,”團隊寫道。
Boltz API 仍保持線上,以協同處理進行中的交換退款,團隊指出,單方面退款無需其基礎設施即可運作。
該披露重新表述了 8 月 1 日的通知,當時 Boltz 因「我們的 EVM 集成存在漏洞」而停用了其 EVM 交換功能——USDT、USDC、TBTC、WBTC 和 RBTC,並向用戶保證 Lightning、Liquid 和鏈上 BTC 交換運作正常。
Boltz 於2019年4月推出,並發展成為比特幣各層的默認交換基礎設施,增加了 Rootstock、Liquid 與主鏈之間的鏈上交換、BTCPay Server 插件,以及在 Tron、Solana 和 EVM 鏈上的穩定幣交換。
錢包爭搶鐵路
依賴 Boltz 作為後端的錢包在數小時內出現異動。Bull Bitcoin 行政總裁 Francis Pouliot said,公司正「立即調整優先事項」,以恢復其錢包用戶的 Lightning 支付和 Liquid 至比特幣兌換功能,並警告在恢復前這些功能將無預警失效。由於 Bull Bitcoin 是 Liquid 聯盟的成員,他表示,不會有用戶資金被困在 Liquid 上。
「我不會讓這種情況持續下去,無論付出什麼代價,我都會解決它,」普利奧特寫道。
Samson Mow,JAN3 公司(Aqua 錢包的開發商)的首席執行官,表示恢復 Liquid 和 Lightning 交換是團隊的首要任務,且 Aqua「已提出協助 Boltz 解決其基礎設施的問題」。他說,Aqua 上的用戶資金仍安全並由用戶掌控。
運行 Boltz 開源堆疊獨立實例的 Lightning 錢包 ZEUS,也將其下線。「我們也將在 swaps.zeuslsp.com 上跟進下線我們的實例,」該團隊寫道。
比特幣教育者 BTC Sessions 總結了即時損失:使用 Boltz 進行 Lightning 交換的錢包「現在將無法如預期運作」,而 Liquid 交易本身仍可正常運作。
「The Token War」
此次停擺發生在比特幣安全問題歷年最嚴重的一週中。由於2021年固件漏洞導致助記詞可被猜測,Coldcard硬體錢包遭利用,自7月30日起已流失約 $114 million in BTC,第四波竊取事件於週一發生。
普利奧特直接劃清了這兩起事件的界線:「首先,是 Coldcard 的漏洞。現在,Lightning 基礎設施的一個關鍵部分離線了。我們無疑在 Token 戰爭中處於劣勢。」
比特幣研究與發展非營利組織 Vinteum 的執行董事盧卡斯·費雷拉 表示,這起事件展現了比特幣基礎設施建設者所面臨的資源差距。「Boltz 擁有出色的團隊,但這是一個小型團隊,正面對日益複雜、由 AI 驅動的駭客群體,」他寫道。「如果我們希望基礎設施保持安全與韌性,就需要為開源領域提供更多的資金。」

