AIによる攻撃でBoltzが機能停止し、ライトニング・ネットワークのユーザーに動揺が広がっています。

同社は同日の早朝、説明なしにシステムをオフラインにしました。数時間後、ユーザーに対し、停止は「追って通知があるまで」続くと伝えました。BoltzはX上でさらに、攻撃者が数ヶ月にわたり同社のコードを調査しており、ここ数日でそのペースが急激に加速していたと説明しました。

「攻撃者の攻撃サイクルは、当社の規模のチームが脆弱性を発見し、修正できる速度を上回っています」と同社は声明で述べました。内部セキュリティスキャンを実施した結果、Boltzは、複数の高度な攻撃グループから積極的に標的とされている状況下では、サービスを安全に再開できないとの結論に至りました。

顧客資金に損失は生じませんでした。Boltzはユーザーの資金を直接保有したことは一度もありません。同社は「ハッシュ・タイムロック契約（hash time-locked contracts）」と呼ばれるシステムを採用しており、これにより、双方が互いの資金を事前に預かることなく資産を交換できます。 Boltzがオフラインの状態でも、ユーザーは依然として自身で資金を回収することが可能であり、同社のサポート窓口も引き続き利用可能です。Boltzは、防御を突破した攻撃による損害を全額負担しました。

ウォレット各社が対応に追われる

サービス停止が急激に広がったのは、いくつかの主要ビットコインウォレットが独自のインフラを運用するのではなく、Boltzのインフラ上でライトニング機能を構築していたためです。JAN3が開発したAqua Walletは、通常のビットコインおよびLiquid取引は引き続き機能しているものの、ライトニングおよびLiquidスワップ機能は当面利用できない状態が続くとユーザーに通知しました。 JAN3の最高経営責任者（CEO）であるサムソン・モウ氏は、これらの機能の復旧が現在同社の最優先事項であり、アクアはボルツ社への直接的な支援の申し出を含め、いくつかの技術的な解決策を検討していると述べました。モウ氏は、ユーザーの資金は引き続き完全に顧客の管理下にあること、またリキッド・ビットコインを通常のビットコインやUSDTに変換する他の手段は依然として存在することを強調しました。

Bull Bitcoinも同様の問題を報告しており、同社アプリではライトニング決済とリキッドからビットコインへの変換機能が現在利用できません。Bull BitcoinのCEOであるフランシス・プーリオ氏は、同社がこれらの機能の復旧に取り組んでいると強調し、その間もリキッド上の顧客資金が凍結されることはないことを保証しました。

Boltzのオープンソースソフトウェアを独自に運用していたZeus Walletも、同社のサービス版を停止しました。 同社によると、チャネルベースのライトニングサービスとライトニングアドレスは引き続き正常に機能しているという。BlockstreamもBoltzに依存していたためウォレット内のアプリ内スワップ機能を停止したが、その他のLiquid機能は稼働を継続している。

すべてのウォレットが影響を受けたわけではありません。 Cake Walletの最高執行責任者（COO）であるSeth For Privacy氏は、Cake Walletおよび関連決済ツール「Radarchat」はBoltzに依存していないため、今回のサービス停止中も通常通り稼働し続けたと説明しました。また、Cake PayのライトニングオプションはBoltzのプラグインを使用していたため一時的に利用できなくなったものの、チームは数時間以内に別のバックエンドへ切り替えたと述べました。

ビットコイン開発者たちが「ライトニング」という呼称に疑問を呈する

今回の障害をきっかけに、何がライトニング・ネットワークの真の活用に当たるかという、以前から続いている議論が再燃した。Layertwo Labsの創設者であり、Drivechain提案の考案者であるポール・シュトルク氏は、ライトニング・ウォレットとして販売されている多くのウォレットは、実際にはライトニング・チャネルを介して直接支払いをルーティングするのではなく、裏側でBoltzのようなスワップサービスに依存していると主張した。 Sztorc氏はX上で、毎日ライトニングを利用していると信じている人々の多くは、この2つの違いを区別できていないことが多いと指摘しました。

ピアツーピアのライトニング・ボット「lnp2pBot」や「mostroP2P」を開発したフランシスコ・カルデロン氏は、自身のプロジェクトがリリース以来、絶え間ない攻撃を受けており、対応に追われるため現在はAIの支援を受けてコードのレビューを行っている述べました。 同氏は、攻撃の規模がチームの対応能力を上回るような事態になれば、リスクを冒すよりもボットを停止すると主張しました。そのシナリオでは、ユーザーの資金ではなく、自身のノードの資金のみがリスクにさらされることになります。

ライトニング・ネットワークの数値が示す複雑な実態

ライトニング・ネットワークのデータを追跡する企業AMBOSSは、今回のサービス停止がより広範な崩壊の兆候であるという見解に反論しました。同社は、障害はBoltzとZeusのスワップインフラ、および1つの取引所関連ノードに集中している一方で、ライトニングの総容量は上昇を続け、主要な取引所ノードも成長を続けていると説明しました。 同社のデータでは、チャネルはより大規模かつプライベート化する傾向にあるものの、パブリックノードの数は安定しています。とはいえ、今回の事象はBoltzの停止以前から存在していた問題を浮き彫りにしています。「チャネルジャミング」と呼ばれる攻撃手法は、取引を完了させずに決済容量をロックしてしまうもので、7年以上にわたり広く導入された対策が講じられていません。 ライトニングの新規ユーザーは、サービスプロバイダーから容量を購入するまで支払いを受け取れないことがよくあります。また、Bitcoin.com Newsは過去にも、流動性が少数の専門オペレーターやクラウドホスト型ノードに集中し続けていると報じています。

今後の見通し

8月4日時点で、ボルツ社はサービス復旧のスケジュールについて何も明らかにしていません。アクア、ブル・ビットコイン、ブロックストリーム、ゼウスは現在、バックアップとなるスワッププロバイダーを探したり、冗長性を構築したりしており、単一の企業のサービス停止によって再びライトニング機能が利用できなくなる事態を防ぐよう努めています。 ビットコイン.comニュースは、スワップがいつ再開されるのか、代替プロバイダーが空白を埋めるのか、またAI攻撃によって自分たちもオフラインに追い込まれる可能性があるというカルデロン氏の警告に他の小規模チームが耳を傾けるかどうかについて、ボルツ氏からの最新情報を注視している。

AIによる攻撃の報告が相次ぐ中、捜査当局は、リモートでのハードウェアウォレットの悪用を可能にし、最終的に約2,000 BTCの盗難につながったColdcardの脆弱性を、AIが発見する一助となった可能性について調査を続けている。 こうした状況の重なりにより、AIが単なるセキュリティ対策のツールの一つではなく、攻撃者にとっての「戦力増幅要因」になりつつあるという懸念がさらに強まっています。