AI-aanval legt Boltz plat en brengt gebruikers van het Lightning Network van hun stuk

Het bedrijf haalde zijn systemen die ochtend vroeg zonder uitleg offline. Enkele uren later liet het de gebruikers weten dat de onderbreking zou duren „tot nader order“. Boltz legde op X verder uit dat aanvallers al maandenlang de code aan het onderzoeken waren, waarbij het tempo de afgelopen dagen sterk was toegenomen.

"Aanvallers werken nu sneller dan een team van onze omvang kan opsporen en verhelpen", aldus het bedrijf in zijn verklaring. Na het uitvoeren van interne beveiligingsscans concludeerde Boltz dat het de diensten niet veilig weer online kon brengen zolang meerdere bekwame groepen het actief als doelwit hadden.

Er is geen geld van klanten verloren gegaan. Boltz heeft nooit rechtstreeks geld van gebruikers in bewaring gehad. Het maakt gebruik van een systeem dat ‘hash time-locked contracts’ heet, waarmee twee partijen activa kunnen uitwisselen zonder dat een van beide eerst het geld van de ander in bewaring neemt. Gebruikers kunnen hun geld nog steeds zelf terugkrijgen, zelfs nu Boltz offline is, en de ondersteuningskanalen van het bedrijf blijven open. Boltz heeft de kosten gedekt van de aanvallen die wel zijn doorgekomen.

Wallets haasten zich om zich aan te passen

De uitval had een snelle impact omdat verschillende populaire bitcoin-wallets hun Lightning-functies op de infrastructuur van Boltz hadden gebouwd in plaats van hun eigen infrastructuur te gebruiken.

Aqua Wallet, ontwikkeld door JAN3, liet gebruikers weten dat de Lightning- en Liquid-swapfuncties voorlopig buiten gebruik zouden blijven, hoewel reguliere bitcoin- en Liquid-transacties wel bleven werken. Samson Mow, CEO van JAN3, zei dat het herstellen van die functionaliteit nu de hoogste prioriteit van het bedrijf is en dat Aqua verschillende technische oplossingen onderzoekt, waaronder het aanbieden van directe hulp aan Boltz. Hij zei dat gebruikers hun geld volledig onder controle houden en dat er nog steeds andere manieren zijn om Liquid Bitcoin om te zetten in gewone bitcoin of USDT.

Bull Bitcoin meldde soortgelijke problemen: Lightning-betalingen en conversies van Liquid naar Bitcoin waren tijdelijk buiten gebruik in de app. Francis Pouliot, CEO van Bull Bitcoin, benadrukte dat het bedrijf eraan werkt om die functies te herstellen en garandeerde dat er in de tussentijd geen geld van klanten op Liquid vast komt te zitten.

Zeus Wallet, dat een eigen versie van de open-source-software van Boltz draaide, heeft zijn versie van de dienst eveneens stilgelegd. Het bedrijf meldde dat zijn op kanalen gebaseerde Lightning-dienst en Lightning-adressen nog steeds normaal functioneren. Ook Blockstream heeft de in-app-swaps in zijn wallet uitgeschakeld vanwege de afhankelijkheid van Boltz, terwijl de overige Liquid-functies wel actief blijven.

Niet elke wallet ondervond de gevolgen. Seth For Privacy, chief operating officer bij Cake Wallet, legde uit dat Cake Wallet en de bijbehorende betaaltool Radarchat tijdens de storing gewoon bleven werken omdat ze niet afhankelijk zijn van Boltz. Hij zei dat de Lightning-optie van Cake Pay kortstondig uitviel omdat deze gebruikmaakte van een Boltz-plug-in, maar dat het team binnen enkele uren was overgeschakeld naar een andere backend.

Bitcoin-ontwikkelaars zetten vraagtekens bij het label „Lightning“

De storing wakkerde een al langer lopende discussie aan over wat als echt gebruik van het Lightning-netwerk geldt. Paul Sztorc, oprichter van Layertwo Labs en bedenker van het Drivechain-voorstel, stelde dat veel wallets die als Lightning-wallets op de markt worden gebracht, achter de schermen in feite afhankelijk zijn van swapdiensten zoals Boltz, in plaats van betalingen rechtstreeks via Lightning-kanalen te routeren. Sztorc suggereerde op X dat mensen die denken dat ze dagelijks Lightning gebruiken, vaak het verschil tussen beide niet kunnen zien.

Francisco Calderón, die de peer-to-peer Lightning-bots lnp2pBot en mostroP2P heeft ontwikkeld, zei dat zijn eigen projecten sinds de lancering voortdurend te maken hebben gehad met aanvallen en dat zijn team de code nu met behulp van AI controleert om de aanslag bij te kunnen houden. Hij stelde dat als het aantal aanvallen ooit groter zou worden dan het reactievermogen van zijn team, hij de bot zou uitschakelen in plaats van het risico te nemen. In dat scenario zouden alleen de middelen van zijn eigen node in gevaar komen, niet het geld van gebruikers.

Cijfers over het Lightning Network laten een gemengd beeld zien

AMBOSS, een bedrijf dat gegevens van het Lightning Network bijhoudt, weerlegde het idee dat de storing duidt op een bredere ineenstorting. Het bedrijf legde uit dat de verstoring zich concentreert op de swap-infrastructuur van Boltz en Zeus en één aan een beurs gekoppeld knooppunt, terwijl de totale Lightning-capaciteit blijft stijgen en de grote beursknooppunten blijven groeien. Volgens de gegevens van het bedrijf is het aantal openbare nodes gestabiliseerd, ook al worden de kanalen steeds groter en privater.

Toch wijst deze episode op problemen die al bestonden vóór de sluiting van Boltz. Voor een vorm van aanval die ‘channel jamming’ wordt genoemd – waarbij de betalingscapaciteit wordt geblokkeerd zonder dat transacties worden voltooid – ontbreekt al meer dan zeven jaar een op grote schaal geïmplementeerde oplossing. Nieuwe Lightning-gebruikers kunnen vaak pas betalingen ontvangen nadat ze capaciteit hebben gekocht bij een dienstverlener. En Bitcoin.com News heeft in het verleden gemeld dat de liquiditeit zich steeds meer concentreert bij een klein aantal professionele exploitanten en in de cloud gehoste knooppunten.

Wat nu?

Boltz heeft per 4 augustus nog geen tijdschema gegeven voor het herstel van de dienstverlening. Aqua, Bull Bitcoin, Blockstream en Zeus zijn nu allemaal op zoek naar alternatieve swap-aanbieders of bouwen redundantie in, zodat een storing bij één enkel bedrijf hun Lightning-functies niet opnieuw kan uitschakelen. Bitcoin.com News houdt de ontwikkelingen in de gaten voor updates van Boltz over wanneer swaps mogelijk worden hervat, of alternatieve aanbieders het gat opvullen en of andere kleine teams de waarschuwing van Calderón opvolgen dat AI-aangedreven aanvallen hen ook offline zouden kunnen dwingen.

De berichten over AI-aangedreven aanvallen komen op het moment dat onderzoekers nog steeds nagaan of AI mogelijk heeft bijgedragen aan het blootleggen van de Coldcard-kwetsbaarheid, waardoor een hardware-wallet op afstand kon worden misbruikt, wat uiteindelijk leidde tot de diefstal van bijna 2.000 BTC. Deze samenloop van omstandigheden heeft de vrees alleen maar versterkt dat AI een krachtversterker voor aanvallers aan het worden is, in plaats van slechts een extra instrument in het beveiligingsarsenaal.