Що спричинило 72-годинний збій трьох основних біткоїн-гаманців Lightning Network?

Зловмисники використовували AI для автоматизованого пошуку експлойтів на машинній швидкості, що перевищувало можливості ручної реакції команди . Boltz зупинили не через одну критичну помилку, а через нестійкий розрив у швидкості реагування на загрози .

AQUA Wallet згасає як залежний сервіс

Оскільки Boltz був основою для обміну для кількох великих гаманців, його відключення негайно вимкнуло функціонал Lightning і Liquid swap для AQUA Wallet, Bull Bitcoin та ZEUS протягом кількох годин . Збій AQUA став прямим наслідком втрати доступу до обмінної інфраструктури Boltz — це було переривання залежного сервісу, а не окремий злам . AQUA підтвердила, що всі інші функції, включаючи звичайні транзакції Bitcoin та Liquid, залишалися працездатними .

Власний інцидент безпеки ZEUS Wallet

Окремо, 5 серпня 2026 року, ZEUS Wallet — який вже втратив доступ до обміну Boltz — зазнав власного інциденту кібербезпеки. ZEUS виявив атаку на свою інфраструктуру та проактивно вимкнув всю свою систему як запобіжний захід . Таким чином, ZEUS став третім значним провайдером Lightning, який припинив роботу протягом приблизно 72 годин .

Важливо, що ZEUS підтвердив: його розслідування не знайшло доказів того, що атака була спричинена вразливістю в протоколі Lightning Network або програмному забезпеченні вузла Lightning . Порушення обмежилося внутрішньою інфраструктурою ZEUS .

Чи були втрачені кошти клієнтів?

Головне питання для будь-якого збою — чи втратили користувачі гроші. Відповідь для всіх трьох провайдерів — ні. Ось докази:

• Boltz: Кошти користувачів не були втрачені. Boltz є некастодіальним і ніколи не зберігає монети користувачів безпосередньо. Система використовує Hash Time-Locked Contracts (HTLC), щоб гарантувати безпечне завершення обміну або повернення. Boltz самостійно покрив будь-які операційні збитки .
• AQUA Wallet: AQUA публічно заявила, що всі кошти користувачів залишилися в безпеці та під повним контролем користувачів .
• ZEUS Wallet: ZEUS підтвердив у своєму офіційному звіті про безпеку та через засновника Евана Калудіса, що кошти клієнтів не були втрачені або поставлені під загрозу . ZEUS зазначив, що, оскільки це самозберігаючий гаманець, користувачі протягом усього інциденту контролювали свої приватні ключі та біткоїни .

Чи постраждав протокол Lightning Network або його пропускна здатність?

• Жодної вразливості на рівні протоколу не виявлено. ZEUS прямо заявив, що його розслідування не виявило експлойту в протоколі Lightning Network або програмному забезпеченні вузла . Проблема Boltz була пов'язана з його власною інфраструктурою обміну на рівні застосунку, а не з базовим протоколом LN .
• Пропускна здатність мережі суттєво не постраждала. Мережа Lightning Network в цілому залишалася працездатною. Збої прибрали значну ліквідність обміну, оскільки Boltz був домінуючим мостом атомарного обміну, але вони не зменшили загальну пропускну здатність каналів мережі або можливості маршрутизації .
• Був яскраво виявлений ризик концентрації екосистеми. Події підкреслили сильну залежність кількох відомих гаманців від одного бекенд-провайдера (Boltz), що коментатори галузі негайно визначили як системний ризик .

Докази зв'язку між інцидентами

Зв'язок між Boltz та AQUA є прямим і очевидним: AQUA покладався на API обміну Boltz і згас як прямий наслідок зупинки Boltz . Зв'язок із ZEUS є часовим та непрямим — ZEUS втратив функціонал обміну Boltz 3 серпня, але його власний злам інфраструктури 5 серпня був окремим, відмінним інцидентом . Немає доказів того, що та сама група зловмисників відповідальна як за атаки Boltz з використанням AI, так і за кібератаку на ZEUS. Група збоїв протягом 72 годин посилила увагу до безпеки інфраструктури Lightning, але безпосередні причини різні .

Шляхи відновлення та статус

Boltz:

• Обмін залишається вимкненим на невизначений термін без графіка відновлення. Boltz заявив, що "не може відповідально увімкнути обмін" після внутрішніх сканувань безпеки . API залишається доступним лише для обробки кооперативних повернень; односторонні повернення (на блокчейні) працюють незалежно від інфраструктури Boltz . Відновлення залежить від того, чи зможе Boltz принципово перебудувати свою систему, щоб витримувати автоматизовані цикли експлойтів на основі AI — виклик, який він публічно визнав таким, що може перевищувати можливості його команди .

AQUA Wallet:

• Команда AQUA заявила 3 серпня, що відновлення послуг обміну Liquid/Lightning є їхнім головним пріоритетом, що вони оцінюють кілька шляхів і що вони запропонували допомогти Boltz вирішити проблеми інфраструктури . Оскільки збій AQUA є суто залежним від іншої служби, відновлення означає або відновлення API Boltz, або інтеграцію AQUA іншого бекенд-провайдера обміну. AQUA зазначила, що базові транзакції Bitcoin та Liquid залишалися функціональними протягом усього часу .

ZEUS Wallet:

• ZEUS локалізував атаку протягом кількох годин і проактивно вимкнув інфраструктуру для повного аудиту безпеки . Адреси ZEUS Pay Lightning повернулися в режим онлайн 6 серпня 2026 року, а ZEUS підтвердив, що його сервіси White, block source та graph data залишалися працездатними протягом усього інциденту . Сервіси обмінного курсу валют зазнали короткочасних збоїв, але були відновлені . Повне відновлення всіх послуг очікується після завершення комплексного аудиту безпеки .

Ширші наслідки

• Атаки з використанням AI на інфраструктуру Bitcoin є новою та зростаючою загрозою. Випадок Boltz є показовим, оскільки зловмисники використовували AI для автоматизації виявлення вразливостей швидше, ніж людська команда могла реагувати — масштаб і швидкість атаки, які можуть стати більш поширеними в індустрії криптовалют .
• Ризик залежності від одного провайдера в екосистемі Lightning був яскраво продемонстрований. Втрата ключової функціональності кількома гаманцями через відмову одного бекенду викликала дискусію про необхідність резервування та децентралізованих провайдерів обміну .
• Кошти користувачів залишилися в безпеці в усіх трьох інцидентах завдяки некастодіальній архітектурі та дизайну обміну на основі HTLC . Це критичне підтвердження для користувачів самозберігаючих біткоїн-гаманців.