AI 공격과 사이버 해킹: ZEUS, Boltz, AQUA Wallet 72시간 마비 사태 전말

공격자들은 AI를 이용해 기계적인 속도로 취약점을 찾아내 공격했습니다 . Boltz는 단 하나의 치명적인 버그 때문에 중단된 것이 아니라, 보안 경쟁에서 속도 차이를 극복하지 못했기 때문입니다 .

AQUA Wallet: 의존성으로 인한 차단

Boltz가 여러 주요 지갑의 스왑 백엔드를 담당했기 때문에, 그 중단으로 인해 AQUA Wallet, Bull Bitcoin, ZEUS의 라이트닝 및 리퀴드 스왑 기능이 몇 시간 만에 작동을 멈췄습니다 . AQUA의 중단은 별도의 해킹이 아닌, Boltz의 스왑 레일을 잃었기 때문에 발생한 직접적인 종속 서비스 중단이었습니다 . AQUA는 일반적인 비트코인 및 리퀴드 거래를 포함한 다른 모든 기능은 정상 작동한다고 확인했습니다 .

ZEUS Wallet: 별도의 보안 사고

같은 기간, 이미 Boltz 스왑 접근권을 잃었던 ZEUS Wallet은 2026년 8월 5일 자체적인 사이버 보안 사고를 겪었습니다. ZEUS는 인프라에 대한 공격을 발견하고 예방 차원에서 전체 시스템을 오프라인으로 전환했습니다 . 이로써 ZEUS는 약 72시간 동안 세 번째로 중단된 주요 라이트닝 서비스 제공업체가 되었습니다 .

중요한 점은, ZEUS의 조사 결과 이번 공격이 라이트닝 네트워크 프로토콜이나 라이트닝 노드 소프트웨어 자체의 결함으로 인한 것이 아니라는 점입니다 . 침해는 ZEUS의 내부 인프라에 국한되었습니다 .

사용자 자금은 안전했나?

서비스 중단 시 가장 중요한 질문은 사용자가 돈을 잃었는지 여부입니다. 세 제공업체 모두에 대한 답변은 아니오입니다. 증거는 다음과 같습니다.

• Boltz: 사용자 자금 손실 없음. Boltz는 논커스터디얼 방식으로 사용자 코인을 직접 보유하지 않습니다. 시스템은 HTLC(Hash Time-Locked Contracts, 해시 타임락 계약)를 사용하여 스왑이 안전하게 완료되거나 원상복구되도록 보장합니다. Boltz는 모든 운영 손실을 자체적으로 흡수했습니다 .
• AQUA Wallet: AQUA는 모든 사용자 자금이 안전하며 사용자의 통제 하에 있다고 공식 발표했습니다 .
• ZEUS Wallet: ZEUS는 공식 보안 업데이트와 창립자 Evan Kaloudis를 통해 고객 자금 손실이 없었고 위험에 처하지도 않았다고 확인했습니다 . ZEUS는 셀프 커스터디얼(Self-custodial, 사용자가 직접 개인키와 비트코인을 관리) 지갑이므로 사고 기간 내내 사용자가 개인키와 비트코인을 통제했다고 강조했습니다 .

라이트닝 네트워크 프로토콜이나 용량에 영향이 있었나?

• 프로토콜 수준의 취약점은 발견되지 않았습니다. ZEUS는 조사 결과 라이트닝 네트워크 프로토콜이나 노드 소프트웨어에 악용 가능한 결함이 발견되지 않았다고 명시했습니다 . Boltz의 문제는 자체 애플리케이션 계층 스왑 인프라에 국한된 것이지, 기반 LN 프로토콜의 문제가 아니었습니다 .
• 네트워크 용량은 실질적인 영향을 받지 않았습니다. 라이트닝 네트워크는 전체적으로 정상 작동했습니다. Boltz가 지배적인 아토믹 스왑 브릿지였기 때문에 스왑 유동성에 큰 타격이 있었지만, 네트워크 전체 채널 용량이나 라우팅 기능이 줄어들지는 않았습니다 .
• 생태계 집중 리스크가 적나라하게 드러났습니다. 이번 사건은 여러 주요 지갑이 단일 백엔드 제공업체(Boltz)에 크게 의존하고 있다는 점을 여실히 보여줬으며, 업계 논평가들은 이를 즉시 시스템적 위험으로 지적했습니다 .

세 사건의 연관성

Boltz와 AQUA의 연관성은 직접적이고 명확합니다. AQUA는 Boltz의 스왑 API에 의존했고, Boltz 중단의 직접적인 결과로 서비스가 중단된 것입니다 . ZEUS와의 연관성은 시간적, 간접적입니다. ZEUS는 8월 3일 Boltz 스왑 기능을 잃었지만, 8월 5일 자체 인프라 해킹은 별개의 독립적인 사건입니다 . Boltz의 AI 기반 공격과 ZEUS의 사이버 공격이 동일한 공격 그룹에 의한 것이라는 증거는 없습니다. 72시간 내에 사건이 연달아 발생하면서 라이트닝 인프라 보안에 대한 관심이 높아졌지만, 직접적인 원인은 서로 다릅니다 .

복구 경로 및 현황

Boltz:

• 스왑은 무기한 비활성화 상태이며 재개 일정이 없습니다. Boltz는 내부 보안 점검 결과 "책임감 있게 스왑을 재개할 수 없다"고 밝혔습니다 . API는 협력적 환불 처리에만 사용 가능하며, 일방적 환불(온체인)은 Boltz 인프라와 무관하게 작동합니다 . 복구는 Boltz가 AI 기반 자동화된 익스플로잇 공격을 견딜 수 있도록 시스템을 근본적으로 재설계할 수 있는지에 달려 있으며, 이는 팀 역량을 초과할 수 있다는 점을 공개적으로 인정했습니다 .

AQUA Wallet:

• AQUA 팀은 8월 3일 리퀴드/라이트닝 스왑 서비스 복구를 최우선 과제로 삼고 있으며, 여러 경로를 평가 중이고 Boltz의 인프라 문제 해결을 돕겠다고 제안했다고 밝혔습니다 . AQUA의 중단은 순전히 의존성에 기인하므로, 복구는 Boltz의 API 재개나 AQUA가 다른 스왑 백엔드 제공업체를 통합하는 것을 의미합니다. AQUA는 기본 비트코인 및 리퀴드 거래는 사고 기간 내내 정상 작동했다고 밝혔습니다 .

ZEUS Wallet:

• ZEUS는 공격을 몇 시간 내에 차단하고 예방 차원에서 완전한 보안 감사를 위해 인프라를 오프라인으로 전환했습니다 . ZEUS Pay 라이트닝 주소는 2026년 8월 6일 다시 온라인 상태가 되었으며, ZEUS는 White, 블록 소스, 그래프 데이터 서비스가 사고 기간 내내 정상 작동했다고 확인했습니다 . 환율 서비스는 일시적 중단이 있었지만 복구되었습니다 . 전체 서비스의 완전한 복구는 포괄적인 보안 감사가 완료될 때까지 보류 중입니다 .

더 넓은 시사점

• 비트코인 인프라에 대한 AI 기반 공격은 새로운 부상하는 위협입니다. Boltz의 사례는 공격자가 AI를 사용하여 인간 팀이 대응할 수 있는 속도보다 빠르게 취약점을 자동으로 발견했다는 점에서 주목할 만하며, 이러한 규모와 속도의 공격은 암호화폐 업계 전반에서 더 흔해질 수 있습니다 .
• 라이트닝 생태계 내 단일 제공업체 의존성 위험이 여실히 드러났습니다. 하나의 백엔드 실패로 여러 지갑의 핵심 기능이 마비된 이번 사태는 중복성과 분산형 스왑 제공업체의 필요성에 대한 논의를 촉발했습니다 .
• 세 사건 모두 사용자 자금은 안전하게 보호되었습니다. 이는 논커스터디얼 아키텍처와 HTLC 기반 스왑 설계 덕분이며, 셀프 커스터디얼 비트코인 지갑 사용자에게 중요한 안도감을 주는 요소입니다 .