Útok umelej inteligencie ochromil Boltz a vyvolal rozruch medzi používateľmi Lightning Network

Spoločnosť ráno bez vysvetlenia odpojila svoje systémy od siete. O niekoľko hodín neskôr informovala používateľov, že pozastavenie potrvá „až do ďalšieho oznámenia“. Boltz ďalej na X vysvetlil, že útočníci už mesiace skúmali jeho kód, pričom tempo sa v posledných dňoch výrazne zrýchlilo.

„Útočníci teraz postupujú rýchlejšie, než dokáže náš tím tejto veľkosti chyby nájsť a opraviť,“ uviedla spoločnosť vo svojom vyhlásení. Po vykonaní interných bezpečnostných kontrol spoločnosť Boltz dospela k záveru, že nemôže bezpečne obnoviť prevádzku služieb, pokiaľ sa na ňu aktívne zameriavajú viaceré schopné skupiny.

Nedošlo k strate žiadnych prostriedkov zákazníkov. Spoločnosť Boltz nikdy priamo nespravovala peniaze používateľov. Využíva systém nazývaný „hash time-locked contracts“, ktorý umožňuje dvom stranám vymieňať si aktíva bez toho, aby jedna z nich najskôr prevzala správu nad prostriedkami druhej strany. Používatelia si môžu svoje peniaze naďalej získať späť sami, aj keď je Boltz offline, a kanály podpory spoločnosti zostávajú otvorené. Boltz uhradil náklady na útoky, ktoré sa podarilo prekonať.

Peňaženky sa zúfalo snažia prispôsobiť

Odstavenie malo rýchly dopad, pretože viaceré populárne bitcoinové peňaženky vybudovali svoje funkcie Lightning na infraštruktúre spoločnosti Boltz, namiesto toho, aby prevádzkovali vlastnú.

Peňaženka Aqua Wallet, vyvinutá spoločnosťou JAN3, informovala používateľov, že jej funkcie Lightning a Liquid swap zostanú v dohľadnej budúcnosti nefunkčné, hoci bežné transakcie s bitcoinom a Liquidom naďalej fungujú. Generálny riaditeľ spoločnosti JAN3 Samson Mow uviedol, že obnovenie tejto funkcionality je teraz najvyššou prioritou spoločnosti a že Aqua zvažuje viacero technických riešení, vrátane ponuky priamej pomoci spoločnosti Boltz. Uviedol, že prostriedky používateľov zostávajú plne pod kontrolou zákazníkov a že naďalej existujú iné spôsoby, ako previesť Liquid Bitcoin na bežný bitcoin alebo USDT.

Podobné problémy hlásila aj spoločnosť Bull Bitcoin, u ktorej boli v aplikácii dočasne nefunkčné platby cez Lightning a konverzie z Liquid na bitcoiny. Generálny riaditeľ spoločnosti Bull Bitcoin Francis Pouliot zdôraznil, že spoločnosť pracuje na obnovení týchto funkcií, a zaručil, že žiadne prostriedky zákazníkov na platforme Liquid medzitým nezostanú zablokované.

Peňaženka Zeus Wallet, ktorá prevádzkovala vlastnú kópiu open-source softvéru spoločnosti Boltz, takisto pozastavila prevádzku svojej verzie služby. Spoločnosť uviedla, že jej kanálová služba Lightning a adresy Lightning stále fungujú normálne. Spoločnosť Blockstream tiež vypnúť výmeny v rámci aplikácie vo svojej peňaženke kvôli závislosti na Boltz, pričom ostatné funkcie služby Liquid ponechala v prevádzke.

Nie každá peňaženka pocítila tento dopad. Seth For Privacy, prevádzkový riaditeľ spoločnosti Cake Wallet, vysvetlil, že peňaženka Cake Wallet a jej súvisiaci platobný nástroj Radarchat fungovali aj počas výpadku, pretože nie sú závislé od Boltz. Uviedol, že funkcia Lightning v Cake Pay bola na krátko mimo prevádzky, pretože využívala doplnok Boltz, ale tím ju v priebehu niekoľkých hodín prešiel na iný backend.

Vývojári bitcoinu spochybňujú označenie „Lightning“

Tento výpadok opäť otvoril dlhotrvajúcu diskusiu o tom, čo sa považuje za skutočné využívanie siete Lightning Network. Paul Sztorc, zakladateľ spoločnosti Layertwo Labs a tvorca návrhu Drivechain, argumentoval, že mnohé peňaženky uvádzané na trh ako peňaženky Lightning v skutočnosti v pozadí závisia od výmenných služieb, ako je Boltz, namiesto toho, aby smerovali platby priamo cez kanály Lightning. Sztorc na X naznačil, že ľudia, ktorí si myslia, že Lightning používajú každý deň, často nevedia rozoznať rozdiel medzi týmito dvoma spôsobmi.

Francisco Calderón, ktorý vyvinul peer-to-peer Lightning boty lnp2pBot a mostroP2P, uviedol, že jeho vlastné projekty čelia neustálym útokom od ich spustenia a že jeho tím teraz kontroluje kód s pomocou umelej inteligencie, aby stíhal reagovať. Tvrdil, že ak by objem útokov niekedy prevýšil schopnosť jeho tímu reagovať, radšej by bota vypol, ako by riskoval jeho fungovanie. V takomto scenári by boli ohrozené len prostriedky na jeho vlastnom uzle, nie peniaze používateľov.

Čísla siete Lightning Network hovoria o zmiešanom vývoji

Spoločnosť AMBOSS, ktorá sleduje údaje o sieti Lightning Network, odmietla názor, že výpadok signalizuje širší kolaps. Spoločnosť vysvetlila, že narušenie sa sústreďuje na infraštruktúru swapov Boltz a Zeus a na jeden uzol prepojený s burzou, zatiaľ čo celková kapacita siete Lightning naďalej stúpa a hlavné uzly spojené s burzami pokračujú v raste. Podľa údajov spoločnosti sa počet verejných uzlov stabilizoval, aj keď kanály vykazujú trend smerom k väčším rozmerom a väčšej súkromnosti.

Táto udalosť však poukazuje na problémy, ktoré existovali už pred odstavením Boltz. Pre formu útoku nazývanú „channel jamming“, ktorá blokuje platobnú kapacitu bez dokončenia transakcií, chýba už viac ako sedem rokov široko nasadená oprava. Noví používatelia Lightningu často nemôžu prijímať platby, kým si nekúpia kapacitu od poskytovateľa služieb. A Bitcoin.com News v minulosti informoval, že likvidita sa naďalej koncentruje medzi malým počtom profesionálnych prevádzkovateľov a uzlami hostovanými v cloude.

Čo bude ďalej

Spoločnosť Boltz k 4. augustu neuviedla žiadny časový harmonogram obnovenia služby. Spoločnosti Aqua, Bull Bitcoin, Blockstream a Zeus teraz hľadajú náhradných poskytovateľov swapov alebo budujú redundanciu, aby výpadok jednej spoločnosti nemohol opäť vyradiť ich funkcie Lightning. Bitcoin.com News sleduje aktualizácie od Boltza o tom, kedy by sa mohli obchody obnoviť, či alternatívni poskytovatelia zasiahnu, aby zaplnili medzeru, a či ostatné malé tímy uposlúchnu Calderónovo varovanie, že útoky riadené umelou inteligenciou by ich mohli tiež prinútiť odpojiť sa.

Správy o útokoch riadených umelou inteligenciou prichádzajú v čase, keď vyšetrovatelia naďalej skúmajú, či umelá inteligencia mohla pomôcť odhaliť zraniteľnosť Coldcard, ktorá umožnila vzdialené zneužitie hardvérovej peňaženky, čo nakoniec viedlo k krádeži takmer 2 000 BTC. Toto prekrývanie len zintenzívnilo obavy, že umelá inteligencia sa stáva prostriedkom znásobujúcim silu útočníkov, a nie len ďalším nástrojom v arzenáli bezpečnostných opatrení.