Serangan AI Membekukan Boltz, Membuat Pengguna Lightning Network Cemas

Perusahaan tersebut mematikan sistemnya pada pagi hari itu tanpa penjelasan. Beberapa jam kemudian, mereka memberi tahu pengguna bahwa penangguhan tersebut akan berlangsung "sampai pemberitahuan lebih lanjut." Boltz selanjutnya menjelaskan di X bahwa para penyerang telah menguji kode mereka selama berbulan-bulan, dengan laju serangan yang meningkat tajam dalam beberapa hari terakhir.

"Para penyerang kini bergerak lebih cepat daripada kemampuan tim kami untuk mendeteksi dan memperbaiki celah keamanan," kata perusahaan tersebut dalam pernyataannya. Setelah menjalankan pemindaian keamanan internal, Boltz menyimpulkan bahwa mereka tidak dapat mengaktifkan kembali layanan secara aman selama masih ada beberapa kelompok yang mampu yang secara aktif menargetkan mereka.

Tidak ada dana pelanggan yang hilang. Boltz tidak pernah menyimpan uang pengguna secara langsung. Perusahaan ini mengandalkan sistem yang disebut kontrak terkunci waktu hash (hash time-locked contracts), yang memungkinkan dua pihak bertukar aset tanpa salah satu pihak harus terlebih dahulu menguasai dana pihak lainnya. Pengguna masih dapat mengambil kembali uang mereka sendiri, meskipun Boltz sedang offline, dan saluran dukungan perusahaan tetap terbuka. Boltz menanggung biaya serangan yang berhasil menembus sistem.

Dompet Berusaha Menyesuaikan Diri

Penutupan ini berdampak cepat karena beberapa dompet bitcoin populer telah membangun fitur Lightning mereka di atas infrastruktur Boltz, bukan menjalankan infrastruktur mereka sendiri.

Aqua Wallet, yang dikembangkan oleh JAN3, memberi tahu pengguna bahwa fitur Lightning dan pertukaran Liquid-nya akan tetap tidak aktif untuk waktu yang tidak dapat diprediksi, meskipun transaksi bitcoin dan Liquid biasa tetap berfungsi. CEO JAN3, Samson Mow, mengatakan bahwa memulihkan fungsi tersebut kini menjadi prioritas utama perusahaan dan bahwa Aqua sedang mempertimbangkan beberapa solusi teknis, termasuk menawarkan bantuan langsung kepada Boltz. Ia menegaskan bahwa dana pengguna tetap sepenuhnya berada di bawah kendali pelanggan dan bahwa masih ada jalur alternatif untuk mengonversi Bitcoin Liquid menjadi Bitcoin biasa atau USDT.

Bull Bitcoin melaporkan masalah serupa, di mana pembayaran Lightning dan konversi Liquid ke Bitcoin sementara tidak berfungsi di aplikasinya. CEO Bull Bitcoin, Francis Pouliot, menekankan bahwa perusahaan sedang berupaya memulihkan fitur-fitur tersebut dan menjamin bahwa tidak ada dana pelanggan di Liquid yang akan tertahan selama proses pemulihan berlangsung.

Zeus Wallet, yang menjalankan salinan perangkat lunak sumber terbuka Boltz miliknya sendiri, juga menghentikan layanannya. Perusahaan tersebut menyatakan bahwa layanan Lightning berbasis saluran dan alamat Lightning-nya masih berfungsi normal. Blockstream juga menonaktifkan fitur pertukaran dalam aplikasi di dompetnya karena ketergantungannya pada Boltz, sementara fitur Liquid lainnya tetap beroperasi.

Tidak semua dompet merasakan dampaknya. Seth For Privacy, kepala operasi di Cake Wallet, menjelaskan bahwa Cake Wallet dan alat pembayaran terkaitnya, Radarchat, tetap berfungsi selama gangguan tersebut karena tidak bergantung pada Boltz. Ia mengatakan opsi Lightning di Cake Pay sempat terhenti sebentar karena menggunakan plugin Boltz, tetapi timnya beralih ke backend yang berbeda dalam hitungan jam.

Pengembang Bitcoin Mempertanyakan Label "Lightning"

Gangguan tersebut kembali memicu perdebatan yang telah berlangsung lama mengenai apa yang dianggap sebagai penggunaan Lightning Network yang sesungguhnya. Paul Sztorc, pendiri Layertwo Labs dan pencipta proposal Drivechain, berpendapat bahwa banyak dompet yang dipasarkan sebagai dompet Lightning sebenarnya bergantung pada layanan pertukaran seperti Boltz di balik layar, alih-alih merutekan pembayaran melalui saluran Lightning secara langsung. Sztorc menyarankan di X bahwa orang-orang yang percaya bahwa mereka menggunakan Lightning setiap hari seringkali tidak dapat membedakan keduanya.

Francisco Calderón, yang mengembangkan bot Lightning peer-to-peer lnp2pBot dan mostroP2P, mengatakan bahwa proyek-proyeknya sendiri telah menghadapi serangan terus-menerus sejak diluncurkan dan bahwa timnya kini meninjau kode dengan bantuan AI untuk mengatasinya. Dia berpendapat bahwa jika volume serangan melampaui kemampuan timnya untuk merespons, dia akan mematikan bot tersebut daripada mengambil risiko. Hanya dana node miliknya sendiri, bukan uang pengguna, yang akan berisiko dalam skenario tersebut.

Angka-angka Lightning Network Menunjukkan Gambaran yang Campur Aduk

AMBOSS, sebuah perusahaan yang melacak data Lightning Network, menentang gagasan bahwa gangguan tersebut menandakan keruntuhan yang lebih luas. Perusahaan tersebut menjelaskan bahwa gangguan tersebut terkonsentrasi pada infrastruktur pertukaran Boltz dan Zeus serta satu node yang terhubung dengan bursa, sementara kapasitas total Lightning terus meningkat dan node-node bursa utama terus berkembang. Jumlah node publik telah stabil, menurut data perusahaan, meskipun saluran-saluran cenderung menjadi lebih besar dan lebih privat.

Namun, insiden ini menyoroti masalah yang sudah ada sebelum penutupan Boltz. Sebuah bentuk serangan yang disebut “channel jamming”, yang mengunci kapasitas pembayaran tanpa menyelesaikan transaksi, belum memiliki solusi yang diterapkan secara luas selama lebih dari tujuh tahun. Pengguna Lightning baru seringkali tidak dapat menerima pembayaran hingga mereka membeli kapasitas dari penyedia layanan. Dan Bitcoin.com News telah melaporkan sebelumnya bahwa likuiditas terus terkonsentrasi di antara sejumlah kecil operator profesional dan node yang dihosting di cloud.

Apa yang Akan Terjadi Selanjutnya

Hingga 4 Agustus, Boltz belum memberikan jadwal pemulihan layanan. Aqua, Bull Bitcoin, Blockstream, dan Zeus kini sedang mencari penyedia swap cadangan atau membangun redundansi agar gangguan pada satu perusahaan tidak dapat kembali mematikan fitur Lightning mereka. Bitcoin.com News terus memantau pembaruan dari Boltz mengenai kapan pertukaran mungkin dilanjutkan, apakah penyedia alternatif akan masuk untuk mengisi kekosongan, dan apakah tim-tim kecil lainnya mengikuti peringatan Calderón bahwa serangan berbasis AI dapat memaksa mereka offline juga.

Laporan mengenai serangan berbasis AI ini muncul saat para penyelidik terus meneliti apakah AI mungkin telah membantu mengungkap kerentanan Coldcard yang memungkinkan eksploitasi dompet perangkat keras jarak jauh, yang pada akhirnya menyebabkan pencurian hampir 2.000 BTC. Tumpang tindih ini semakin memperkuat kekhawatiran bahwa AI sedang berubah menjadi pengali kekuatan bagi para penyerang, bukan sekadar alat tambahan dalam gudang keamanan.