Boltz、AI支援型の自動攻撃急増でビットコイン・スワップを停止

ノンカストディ型スワップ提供のBoltzは、インフラに対する自動化されたAI支援型攻撃が急増したとして、ビットコインのスワップサービスを当面停止した。週明けに明らかにしたところでは、ここ数カ月で複数の攻撃事案に対応したものの、いずれも封じ込めに成功した一方、比較的小規模な開発チームが修正パッチを投入する速度を上回って、攻撃者が脆弱性の発見と適応を進めていると判断した。 直近数日で攻撃が大きく加速し、最新のセキュリティスキャンで新たな問題も検出されたため、現時点でのサービス再開は無責任だとしている。再開時期は公表しておらず、ユーザーには「近く再開する」とは見込まないよう注意を促した。 停止の背景についてBoltzは、今年に入って「自動化されたAI支援のプロービング（探索）」が一段と頻発していると説明。複数の潤沢なリソースを持つ集団が、開発側が修正作業を進める間も継続的に狙っている可能性があるとの見方を示した。攻撃の技術的詳細や、AIがどのように使われたかを示す具体的な証拠は現時点で公開していない。 一般にAIツールは、公開コードの精査、脆弱性の検証、失敗した攻撃手法の迅速な改変などを支援し得る。探索工程の多くを自動化し、攻撃を24時間体制で回せる一方、防御側は検知結果のレビューやパッチ開発、変更のテストに時間を要するため、小規模なオープンソースチームにとって不利になりやすい。 暗号資産で決済できる「pay-per-prompt」型AIサービスのPayPerQも、AIが関与している疑いのある攻撃を頻繁に受けていると述べている。Solana Foundationのセキュリティ責任者Michael Coatesは以前、暗号資産企業には人間の対応速度では追いつかないため、自律型の防御が必要になると主張していた。 Boltzは、スワップがノンカストディであるため顧客資金が危険にさらされたことはないと説明する。同社はアトミックスワップを用い、Bitcoinメインネット、Lightning Network、Liquid Networkの間でビットコインおよびビットコイン建て資産を移動させる。ユーザーは資産をBoltz管理の口座に預け入れるのではなく、自身で管理したまま取引できる。 一方で、ノンカストディの仕組みでもソフトウェア脆弱性、取引の中断、サービス停止といった影響は起こり得る。未完了のスワップがある利用者には、スワップID、返金ファイル、リカバリーキーなど取引情報の保管を呼びかけた。返金処理のためAPIは提供を継続し、サポートチームも対応を続けるという。 今回の停止は、中央集権型取引所に依存せず、ビットコインの異なるレイヤー間で資金移動を可能にするBoltzの役割を踏まえると影響が小さくない。LightningやLiquidのスワップでBoltz基盤を利用するウォレットやアプリにも波及する可能性がある。DeFiLlamaによれば、報道時点の総ロック額（TVL）は約262,187ドル。ただし、この数値がプラットフォームを経由した取引総額の全体像を必ずしも示すものではない。 Boltzは現在、システムの精査と修正の適用を進めている。次のアップデートが出るまでは、新規スワップを控え、返金や復旧支援は公式サポート窓口のみを利用するよう求めている。