Napad z umetno inteligenco ohromi Boltz in vznemiri uporabnike omrežja Lightning Network

Podjetje je zgodaj zjutraj brez pojasnila izklopilo svoje sisteme. Nekaj ur kasneje je uporabnikom sporočilo, da bo prekinitev trajala »do nadaljnjega obvestila«. Boltz je na platformi X nadalje pojasnil, da so napadalci že mesece preiskovali njegovo kodo, pri čemer se je tempo v zadnjih dneh močno pospešil.

»Napadalci zdaj delujejo hitreje, kot jih lahko naša ekipa te velikosti odkrije in popravi,« je podjetje navedlo v izjavi. Po izvedbi notranjih varnostnih pregledov je Boltz ugotovil, da storitev ne more varno ponovno vzpostaviti, dokler ga aktivno napadajo številne sposobne skupine.

Sredstva strank niso bila izgubljena. Boltz nikoli ni neposredno hranil denarja uporabnikov. Zanaša se na sistem, imenovan »hash time-locked contracts«, ki omogoča dvema stranema izmenjavo sredstev, ne da bi katera koli od njiju najprej prevzela skrbništvo nad sredstvi druge. Uporabniki lahko še vedno sami izterjajo svoj denar, tudi če je Boltz nedosegljiv, podporni kanali podjetja pa ostajajo odprti. Boltz je kril stroške napadov, ki so uspeli prodreti.

Denarnice se hitro prilagajajo

Izpad je prišel hitro, saj je več priljubljenih bitcoin denarnic svoje funkcije Lightning zgradilo na infrastrukturi Boltza, namesto da bi uporabljale lastno.

Denarnica Aqua Wallet, ki jo je razvilo podjetje JAN3, je uporabnikom sporočila, da bodo njene funkcije Lightning in Liquid swap v bližnji prihodnosti ostale nedosegljive, čeprav so redne transakcije z bitcoini in Liquidom še naprej delovale. Izvršni direktor podjetja JAN3, Samson Mow, je dejal, da je ponovna vzpostavitev te funkcionalnosti zdaj glavna prioriteta podjetja in da Aqua preučuje več tehničnih rešitev, vključno s ponudbo neposredne pomoči podjetju Boltz. Povedal je, da sredstva uporabnikov ostajajo v celoti pod nadzorom strank in da še vedno obstajajo druge poti za pretvorbo Liquid bitcoina v običajni bitcoin ali USDT.

Podobne težave je poročal tudi Bull Bitcoin, kjer so v njihovi aplikaciji začasno neaktivna plačila prek Lightning ter pretvorbe iz Liquid v bitcoin. Izvršni direktor podjetja Bull Bitcoin, Francis Pouliot, je poudaril, da podjetje dela na ponovni vzpostavitvi teh funkcij, in zagotovil, da medtem sredstva strank na Liquid ne bodo obtičala.

Tudi Zeus Wallet, ki je uporabljal lastno kopijo odprtokodne programske opreme Boltz, je ustavil svojo različico storitve. Podjetje je sporočilo, da njena storitev Lightning, ki temelji na kanalih, in naslovi Lightning še vedno delujejo normalno. Tudi Blockstream je v svoji denarnici onemogočil zamenjave znotraj aplikacije zaradi odvisnosti od Boltz, ostale funkcije Liquid pa so ostale v delovanju.

Vpliv ni občutil vsak denarnik. Seth For Privacy, glavni operativni direktor pri Cake Wallet, je pojasnil, da sta Cake Wallet in z njim povezano plačilno orodje Radarchat med izpadom še naprej delovala, saj nista odvisna od Boltza. Dejal je, da je bila možnost Lightning v Cake Pay za kratek čas onemogočena, ker je uporabljala vtičnik Boltz, vendar jo je ekipa v nekaj urah preusmerila na drug backend.

Razvijalci bitcoina dvomijo v oznako »Lightning«

Izpad je ponovno odprl že dlje trajajočo razpravo o tem, kaj šteje za pravo uporabo omrežja Lightning. Paul Sztorc, ustanovitelj podjetja Layertwo Labs in avtor predloga Drivechain, je trdil, da so mnoge denarnice, ki se tržijo kot denarnice Lightning, v ozadju dejansko odvisne od storitev zamenjave, kot je Boltz, namesto da bi plačila usmerjale neposredno prek kanalov Lightning. Sztorc je na X-u namignil, da ljudje, ki menijo, da vsak dan uporabljajo omrežje Lightning, pogosto ne morejo razlikovati med tema dvema načinoma.

Francisco Calderón, ki je razvil peer-to-peer botov za omrežje Lightning, lnp2pBot in mostroP2P, je dejal, da so njegovi projekti od začetka delovanja nenehno izpostavljeni napadom in da njegova ekipa zdaj pregleduje kodo s pomočjo umetne inteligence, da bi lahko sledila dogajanju. Trdil je, da bi v primeru, če bi obseg napadov kdaj presegel zmožnosti odziva njegove ekipe, raje izklopil bota, kot da bi tvegal. V takem scenariju bi bila ogrožena le sredstva njegovega lastnega vozlišča, ne pa denarja uporabnikov.

Številke omrežja Lightning kažejo mešano sliko

Podjetje AMBOSS, ki spremlja podatke omrežja Lightning Network, je zavrnilo domnevo, da izpad pomeni širši kolaps. Podjetje je pojasnilo, da se motnje osredotočajo na infrastrukturo za menjavo Boltz in Zeus ter eno vozlišče, povezano z borzo, medtem ko skupna zmogljivost omrežja Lightning še naprej narašča in glavna borzna vozlišča še naprej rastejo. Število javnih vozlišč se je po podatkih podjetja stabiliziralo, čeprav se kanali povečujejo in postajajo bolj zasebni.

Kljub temu ta dogodek kaže na težave, ki so obstajale že pred izklopom Boltza. Za obliko napada, imenovano »channel jamming«, ki blokira plačilno zmogljivost, ne da bi transakcije zaključila, že več kot sedem let ni na voljo splošno razširjene rešitve. Novi uporabniki omrežja Lightning pogosto ne morejo prejemati plačil, dokler ne kupijo zmogljivosti od ponudnika storitev. Bitcoin.com News je v preteklosti poročal, da se likvidnost še naprej koncentrira med majhnim številom profesionalnih operaterjev in vozlišč, gostovanih v oblaku.

Kaj sledi

Boltz 4. avgusta ni navedel časovnega okvira za ponovno vzpostavitev storitve. Aqua, Bull Bitcoin, Blockstream in Zeus zdaj iščejo nadomestne ponudnike zamenjav ali vzpostavljajo redundance, da izpad enega samega podjetja ne bi mogel ponovno onesposobiti njihovih funkcij Lightning. Bitcoin.com News spremlja novice od Boltza o tem, kdaj se bodo zamenjave morda ponovno začele, ali bodo v vrzel posredovali alternativni ponudniki ter ali bodo druge manjše ekipe upoštevale Calderónovo opozorilo, da bi jih napadi, ki jih poganja umetna inteligenca, prav tako lahko prisilili v izpad.

Poročila o napadih, ki jih poganja umetna inteligenca, prihajajo v času, ko preiskovalci še naprej preučujejo, ali je umetna inteligenca morda pomagala odkriti ranljivost Coldcarda, ki je omogočila izkoriščanje strojne denarnice na daljavo, kar je na koncu pripeljalo do kraje skoraj 2.000 BTC. To prekrivanje je le še okrepilo strahove, da umetna inteligenca postaja multiplikator moči za napadalce, namesto da bi bila le še eno orodje v varnostnem arzenalu.