Bitcoin'in ana ağı, Lightning Network ve Liquid arasında swap işlemlerini yönlendiren, kullanıcıların kendi varlıklarını kontrol ettiği köprü Boltz, Pazartesi günü hizmetini süresiz olarak devre dışı bıraktı. Şirket, aylardır altyapısına yönelik otomatikleştirilmiş, yapay zeka destekli saldırıların, ekibin güncelleme yapma hızını geçtiğini söyledi.
Boltz, swap hizmetlerini ilk olarak 3 Ağustos'ta TSİ 12:54'te herhangi bir açıklama yapmadan çevrimdışına aldı. Yaklaşık altı saat sonra yapılan bir açıklamada ekip, askıya almanın "bir sonraki duyuruya kadar" süreceğini belirtti ve aylardır süren bir saldırı modelini anlattı.
Ekip, "Geçtiğimiz aylarda altyapımıza yönelik otomatikleştirilmiş, yapay zeka destekli keşif girişimlerinde istikrarlı bir artış gördük ve birkaç istismarla karşılaştık. Her biri kontrol altına alındı, ancak model net: Saldırganlar artık bizim büyüklüğümüzdeki bir ekibin bulup yama yapabileceğinden daha hızlı hareket ediyor" ifadelerini kullandı.
Kapatma, Bull Bitcoin ve Aqua gibi cüzdanlardaki Lightning ve Liquid ödemelerinin arkasındaki swap altyapısını kesintiye uğrattı. Ayrıca, açık kaynak geliştiricileri arasında büyüyen bir korkuyu da gün yüzüne çıkardı: Küçük ekipler, yapay zeka araçlarıyla donanmış saldırganlara karşı kamuya açık kod tabanlarını savunmakta zorlanıyor.
Ekip, baskının son günlerde arttığını ve kendilerini "görünüşe göre birden fazla kaynaklı grubun aktif hedefi" olarak bulduklarını söyledi. Kendi güvenlik taramalarını inceledikten sonra "Boltz swaplarını sorumlu bir şekilde yeniden etkinleştiremeyeceklerini" belirttiler.
Açıklamada, "Gördüğümüz şey, açık kaynak yığını üzerinde çalışan Bitcoin hizmetleri için büyük bir paradigma değişimi ve bu dikkatli bir analiz gerektiriyor. Swap hizmetlerinin kısa sürede yeniden başlamasını beklemeyin" denildi.
'Kayıplar Sadece Bize Aitti'
Boltz, kontrol altına aldıkları istismarların şirkete maliyet getirdiğini ancak atomik swap tasarımı sayesinde kullanıcı fonlarının hiçbir zaman risk altında olmadığını söyledi. Ekip, "Açık olmak gerekirse: hiçbir kullanıcı fonu risk altında değildi. Boltz, tasarımı gereği kullanıcıların kendi varlıklarını kontrol ettiği bir hizmettir. Tamamen kendi kendini finanse eden bir şirket olarak kayıplar sadece bize aitti" ifadelerini kullandı.
Boltz API'si, devam eden swaplar için işbirlikçi geri ödemeleri işlemek üzere çevrimiçi kalmaya devam ediyor ve ekip, tek taraflı geri ödemelerin kendi altyapıları olmadan da çalıştığını belirtti.
Açıklama, Boltz'un 1 Ağustos'taki duyurusuna da yeni bir ışık tuttu. O duyuruda şirket, EVM swaplarını (USDT, USDC, TBTC, WBTC ve RBTC) "EVM entegrasyonumuzda bir hata" gerekçesiyle devre dışı bırakmış, ancak Lightning, Liquid ve zincir üstü BTC swaplarının normal şekilde çalıştığını belirtmişti.
Nisan 2019'da başlatılan Boltz, bitcoin katmanları arasında varsayılan swap altyapısı haline gelmiş, Rootstock, Liquid ile ana zincir arasında zincir swapları, bir BTCPay Server eklentisi ve Tron, Solana ile EVM zincirlerinde stablecoin swapları eklemişti. DeFiLlama verilerine göre, Boltz'da kilitli toplam değer yaklaşık 262.000 dolar seviyesinde bulunuyor.
Cüzdanlar Alternatif Altyapı Peşinde
Boltz'u arka uç olarak kullanan cüzdanlar saatler içinde harekete geçti. Bull Bitcoin CEO'su Francis Pouliot, şirketin "önceliklerini hemen değiştirdiğini" ve cüzdan kullanıcıları için Lightning ödemelerini ve Liquid'den bitcoin'e swapları geri getirmeye çalıştıklarını söyledi. Pouliot, bu işlevlerin geri gelene kadar açıklama yapmadan çalışmayacağı konusunda uyardı. Bull Bitcoin'in Liquid federasyonunun bir üyesi olması nedeniyle hiçbir kullanıcı fonunun Liquid'de takılı kalmayacağını belirtti.
Pouliot, "Bu durumun uzamasına izin vermeyeceğim. Ne gerekiyorsa yapacağım, düzelteceğim" dedi.
Aqua cüzdanının arkasındaki JAN3 şirketinin CEO'su Samson Mow, Liquid ve Lightning swaplarını geri getirmenin ekibin en önemli önceliği olduğunu ve Aqua'nın "Boltz'a altyapılarındaki sorunları çözme konusunda yardım teklif ettiğini" söyledi. Mow, Aqua'daki kullanıcı fonlarının güvende olduğunu ve kullanıcı kontrolünde kaldığını belirtti.
Boltz'un açık kaynak yığınının kendi örneğini çalıştıran Lightning cüzdanı ZEUS da hizmetini çevrimdışına aldı. Ekip, "swaps.zeuslsp.com adresindeki örneğimizle biz de aynısını yapıyoruz" ifadelerini kullandı.
Bitcoin eğitimcisi BTC Sessions, acil hasarı özetledi: Boltz'u Lightning swapları için kullanan cüzdanlar "artık beklendiği gibi çalışmayacak", ancak Liquid işlemleri çalışmaya devam ediyor.
'Token Savaşı'
Askıya alma, bitcoin güvenliği için yılların en kötü haftasının ortasında geldi. Coldcard donanım cüzdanlarındaki bir açık, 2021'e ait bir ürün yazılımı hatasına dayanıyor ve tohum ifadelerini tahmin edilebilir hale getiriyor. Bu açık, 30 Temmuz'dan bu yana yaklaşık 114 milyon dolar değerinde BTC'nin çalınmasına yol açtı ve dördüncü bir hırsızlık dalgası Pazartesi günü vurdu.
Pouliot, iki olay arasında doğrudan bir bağlantı kurdu: "Önce Coldcard açığı. Şimdi de Lightning altyapısının kritik bir parçası çevrimdışı oluyor. Hiç şüphesiz Token Savaşı'nın kaybeden tarafındayız."
Bitcoin araştırma ve geliştirme kâr amacı gütmeyen kuruluşu Vinteum'un yönetici direktörü Lucas Ferreira, bu olayın bitcoin altyapı geliştiricilerinin karşılaştığı kaynak açığını gösterdiğini söyledi. Ferreira, "Boltz'un parlak bir ekibi var, ancak bu küçük bir ekip ve giderek daha karmaşık, yapay zeka destekli bilgisayar korsanı gruplarıyla karşı karşıyalar. Altyapımızın güvenli ve dayanıklı kalmasını istiyorsak, açık kaynak alanına daha fazla fon sağlamamız gerekecek" ifadelerini kullandı.
