Boltz, une entreprise permettant aux utilisateurs de transférer des bitcoins entre la blockchain principale, le Lightning Network et la sidechain Liquid, a suspendu l’ensemble de ses services d’échange le 3 août, après des mois d’attaques automatisées qui, selon elle, s’appuyaient de plus en plus sur l’intelligence artificielle (IA). Le moment choisi a ébranlé la communauté des utilisateurs de bitcoins, car cette annonce a coïncidé presque exactement avec la catastrophe Coldcard, où une défaillance du micrologiciel avait déjà vidé des portefeuilles et ébranlé la confiance.
Une attaque par IA paralyse Boltz et sème la panique parmi les utilisateurs du Lightning Network
ÉCRIT PAR
PARTAGER
Points clés à retenir
- Boltz a suspendu les échanges Lightning et Liquid le 3 août 2026, après que des attaques pilotées par l’IA ont pris le dessus sur son équipe.
- Trois portefeuilles, Aqua, Bull Bitcoin et Zeus, ont perdu l’accès aux échanges gérés par Boltz quelques heures seulement après l’arrêt du service.
- Au 4 août 2026, Boltz n’avait donné aucune date de rétablissement, tandis que les portefeuilles recherchaient des fournisseurs de solutions de secours.
La société a mis ses systèmes hors ligne tôt ce matin-là sans fournir d’explication. Quelques heures plus tard, elle a informé ses utilisateurs que cette suspension durerait « jusqu’à nouvel ordre ». Boltz a en outre expliqué sur X que les attaquants sondaient son code depuis des mois, le rythme s’étant considérablement accéléré ces derniers jours.
« Les pirates agissent désormais plus vite que notre équipe, compte tenu de notre taille, ne peut les détecter et corriger les failles », a déclaré la société dans son communiqué. Après avoir effectué des analyses de sécurité internes, Boltz a conclu qu’il ne pouvait pas remettre ses services en ligne en toute sécurité tant que plusieurs groupes compétents le ciblaient activement.
Aucun fonds des clients n’a été perdu. Boltz n’a jamais détenu directement l’argent des utilisateurs. L’entreprise s’appuie sur un système appelé « contrats à verrouillage temporel par hachage » (hash time-locked contracts), qui permet à deux parties d’échanger des actifs sans que l’une d’entre elles ne prenne d’abord la garde des fonds de l’autre. Les utilisateurs peuvent toujours récupérer leur argent par eux-mêmes, même si Boltz est hors ligne, et les canaux d’assistance de la société restent ouverts. Boltz a pris en charge le coût des attaques qui ont réussi à passer.
Les portefeuilles s’empressent de s’adapter
La mise hors service a eu un impact immédiat, car plusieurs portefeuilles Bitcoin populaires avaient développé leurs fonctionnalités Lightning en s’appuyant sur l’infrastructure de Boltz plutôt que d’exploiter la leur. Aqua Wallet, développé par JAN3, a informé ses utilisateurs que ses fonctionnalités d’échange Lightning et Liquid resteraient indisponibles dans un avenir proche, bien que les transactions classiques en Bitcoin et Liquid continuent de fonctionner. Samson Mow, PDG de JAN3, a déclaré que le rétablissement de ces fonctionnalités était désormais la priorité absolue de l’entreprise et qu’Aqua étudiait plusieurs solutions techniques, notamment en proposant d’aider directement Boltz. Il a précisé que les fonds des utilisateurs restaient entièrement sous le contrôle des clients et qu’il existait d’autres moyens de convertir des bitcoins Liquid en bitcoins classiques ou en USDT.
Bull Bitcoin a signalé des problèmes similaires, les paiements Lightning et les conversions de Liquid en Bitcoin étant temporairement indisponibles dans son application. Le PDG de Bull Bitcoin, Francis Pouliot, a souligné que la société s’efforçait de rétablir ces fonctionnalités et a garanti qu’aucun fonds client sur Liquid ne resterait bloqué entre-temps.
Zeus Wallet, qui exploitait sa propre version du logiciel open source de Boltz, a également suspendu son service. La société a indiqué que son service Lightning basé sur des canaux et ses adresses Lightning fonctionnaient toujours normalement. Blockstream a également désactivé les échanges intégrés à son portefeuille en raison de sa dépendance vis-à-vis de Boltz, tout en maintenant le reste de ses fonctionnalités Liquid opérationnelles.
Tous les portefeuilles n’ont pas été touchés. Seth For Privacy, directeur des opérations chez Cake Wallet, a expliqué que Cake Wallet et son outil de paiement associé, Radarchat, avaient continué à fonctionner pendant la panne car ils ne dépendent pas de Boltz. Il a précisé que l’option Lightning de Cake Pay avait été brièvement hors service car elle utilisait un plugin Boltz, mais que l’équipe l’avait basculée vers un autre backend en quelques heures.
Les développeurs Bitcoin remettent en question l’appellation « Lightning »
Cette panne a relancé un débat de longue date sur ce qui constitue une utilisation authentique du réseau Lightning. Paul Sztorc, fondateur de Layertwo Labs et créateur de la proposition Drivechain, a fait valoir que de nombreux portefeuilles commercialisés comme des portefeuilles Lightning dépendent en réalité, en coulisses, de services d’échange tels que Boltz, plutôt que d’acheminer directement les paiements via les canaux Lightning. Sztorc a laissé entendre sur X que les personnes qui pensent utiliser Lightning quotidiennement ne font souvent pas la différence entre les deux.
Francisco Calderón, qui a développé les bots Lightning peer-to-peer lnp2pBot et mostroP2P, a déclaré que ses propres projets faisaient l’objet d’attaques constantes depuis leur lancement et que son équipe vérifiait désormais le code à l’aide de l’IA pour faire face à cette situation. Il a fait valoir que si le volume des attaques venait à dépasser la capacité de réaction de son équipe, il préférerait fermer le bot plutôt que de prendre des risques. Dans ce scénario, seuls les fonds de son propre nœud seraient menacés, et non l’argent des utilisateurs.
Les chiffres du Lightning Network dressent un bilan mitigé
AMBOSS, une société qui suit les données du Lightning Network, a réfuté l’idée selon laquelle cette panne serait le signe d’un effondrement plus général. La société a expliqué que la perturbation se concentrait sur les infrastructures d’échange Boltz et Zeus ainsi que sur un nœud lié à une bourse, tandis que la capacité totale du Lightning Network continue de grimper et que les principaux nœuds liés aux bourses poursuivent leur croissance. Selon les données de la société, le nombre de nœuds publics s’est stabilisé, alors même que les canaux ont tendance à devenir plus volumineux et plus privés. Cet épisode met toutefois en évidence des problèmes antérieurs à la fermeture de Boltz. Une forme d’attaque appelée « channel jamming », qui bloque la capacité de paiement sans mener les transactions à terme, n’a pas fait l’objet d’une solution largement déployée depuis plus de sept ans. Les nouveaux utilisateurs de Lightning ne peuvent souvent pas recevoir de paiements tant qu’ils n’ont pas acheté de capacité auprès d’un fournisseur de services. Et Bitcoin.com News a déjà signalé par le passé que la liquidité continue de se concentrer entre les mains d’un petit nombre d’opérateurs professionnels et de nœuds hébergés dans le cloud.
Prochaines étapes
Au 4 août, Boltz n’avait donné aucun délai pour le rétablissement du service. Aqua, Bull Bitcoin, Blockstream et Zeus recherchent désormais tous des fournisseurs de swap de secours ou mettent en place des systèmes redondants afin qu’une panne chez une seule entreprise ne puisse plus paralyser leurs fonctionnalités Lightning. Bitcoin.com News reste à l’affût des informations de M. Boltz concernant la date de reprise des échanges, la présence éventuelle de prestataires alternatifs pour combler le vide, et la réaction d’autres petites équipes face à l’avertissement de M. Calderón selon lequel des attaques basées sur l’IA pourraient les contraindre elles aussi à se déconnecter.
Ces informations concernant des attaques menées par l’IA surviennent alors que les enquêteurs continuent d’examiner si l’IA a pu contribuer à la découverte de la vulnérabilité de Coldcard, qui a permis l’exploitation à distance d’un portefeuille matériel et a finalement conduit au vol de près de 2 000 BTC. Cette coïncidence ne fait qu’intensifier les craintes selon lesquelles l’IA est en train de devenir un multiplicateur de puissance pour les attaquants, plutôt qu’un simple outil supplémentaire dans l’arsenal de sécurité.
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
