Boltz a suspendu ses services d'échange Bitcoin indéfiniment le 3 août après avoir signalé des mois de sondage automatisé assisté par IA et plusieurs exploits contenus.
Résumé
- Boltz a suspendu les échanges indéfiniment après avoir signalé des mois de sondage automatisé assisté par IA et plusieurs exploits contenus.
- L'entreprise affirme que les attaquants s'adaptent désormais plus rapidement que son équipe ne peut identifier et corriger les failles.
- Aucun fonds d'utilisateur n'était en danger, tandis que Boltz affirme avoir absorbé toutes les pertes opérationnelles elle-même.
- Les API de remboursement et le support restent disponibles, mais le protocole n'a pas encore fourni de date de réouverture.
- Bull Bitcoin, Aqua et ZEUS ont signalé des perturbations de service liées à leur dépendance aux échanges Boltz.
Le fournisseur d'échange non dépositaire a déclaré que les attaques s'étaient fortement accélérées ces derniers jours, laissant son équipe de développement incapable de déployer des correctifs aussi rapidement que les attaquants adaptaient leurs méthodes.
L'équipe a déclaré qu'elle ne pouvait pas rétablir les échanges de manière responsable tant qu'elle était sous attaque active et qu'elle examinait les résultats des analyses de sécurité récentes. Boltz a décrit les attaquants présumés comme "plusieurs groupes ingénieux", bien qu'elle ne les ait pas identifiés ni fourni de preuves confirmant indépendamment qui a mené les attaques.
La fermeture de l'échange Boltz a suivi un avertissement EVM antérieur
La fermeture plus large a suivi un avis du 1er août concernant un bug dans l'intégration de la machine virtuelle Ethereum de Boltz. Le service a d'abord désactivé les échanges impliquant des actifs tels que USDT, USDC, WBTC, TBTC et RBTC tout en déclarant que les échanges Bitcoin, Lightning et Liquid restaient opérationnels. Deux jours plus tard, il a arrêté tous les services d'échange.
Boltz exploite une infrastructure reliant le réseau principal Bitcoin au réseau Lightning, Liquid et à d'autres réseaux pris en charge. Son API publique alimente l'application Web principale et les intégrations externes. La documentation officielle conseille aux développeurs d'utiliser les kits de développement logiciel pris en charge car ils gèrent la cryptographie des échanges, les procédures de récupération et les états de transaction.
De plus, Boltz a déclaré qu'aucun fonds de client n'a été exposé lors des incidents car les utilisateurs conservent le contrôle de leurs actifs tout au long de son processus d'échange atomique. L'entreprise a également déclaré avoir absorbé les pertes associées aux exploits contenus car elle fonctionne comme une entreprise entièrement autofinancée. Ces déclarations restent des affirmations de l'entreprise car Boltz n'a pas publié de rapport d'incident technique ni d'examen de sécurité indépendant.
L'API du service reste en ligne pour les remboursements coopératifs. Les utilisateurs peuvent également effectuer des remboursements unilatéraux sans dépendre de l'infrastructure de Boltz, selon l'entreprise. Son équipe de support reste disponible pour les clients ayant des transactions inachevées.
La distinction montre comment l'architecture non dépositaire peut limiter les pertes de garde sans empêcher les perturbations opérationnelles. Les utilisateurs peuvent conserver leurs bitcoins, mais ils ne peuvent pas initier de nouveaux échanges via le service affecté jusqu'à ce que les opérations reprennent ou que les portefeuilles intégrés introduisent des fournisseurs alternatifs.
Les portefeuilles cherchent des remplacements pour l'infrastructure Boltz
Bull Bitcoin a déclaré que la fermeture a temporairement désactivé les paiements Lightning et les conversions entre Bitcoin Liquid et Bitcoin onchain dans son portefeuille. Les transferts Bitcoin standard, les transferts Liquid, la restauration du portefeuille et les fonctions de stockage ont continué à fonctionner normalement.
L'entreprise a déclaré évaluer plusieurs options de remplacement et a promis un mécanisme séparé pour les clients souhaitant convertir du Bitcoin Liquid en Bitcoin onchain. Elle a ajouté que son adhésion à la Fédération Liquid lui permet d'effectuer des conversions sans dépendre d'un tiers.
ZEUS a également désactivé son propre déploiement de la pile Boltz open source, tandis qu'Aqua a informé les utilisateurs que la suspension du service affectait ses fonctions d'échange. Aucun des deux portefeuilles n'a signalé de pertes d'actifs de clients.
Comme crypto.news l'a précédemment rapporté, Blockstream avait intégré Boltz dans son portefeuille mobile pour prendre en charge les échanges Lightning et Liquid. L'arrêt montre comment les applications qui utilisent une infrastructure d'échange partagée peuvent faire face à des interruptions de service même lorsque leurs fonctions de portefeuille de base restent disponibles.
Boltz n'a pas fourni de date de réouverture
Boltz a averti les utilisateurs de ne pas s'attendre à ce que les services d'échange reprennent bientôt. Il n'a pas publié de calendrier de remédiation, de liste détaillée des vulnérabilités ou de conditions à remplir avant la reprise des opérations. L'équipe a déclaré qu'elle fournirait une autre mise à jour après avoir évalué ses options.
L'attribution de l'entreprise à une activité assistée par l'IA reste également difficile à vérifier sans indicateurs techniques. L'analyse automatisée peut augmenter la vitesse et le volume des attaques, mais Boltz n'a pas expliqué comment il a déterminé que l'intelligence artificielle a joué un rôle.
Dans une couverture connexe, crypto.news a rapporté que le responsable de la sécurité de la Fondation Solana, Michael Coates, s'attend à ce que l'intelligence artificielle renforce à la fois les attaquants et les systèmes défensifs. La prochaine mise à jour de Boltz devrait clarifier s'il introduira une surveillance automatisée, des audits externes ou des modifications de son infrastructure open source avant de rétablir les échanges.
