L’asymétrie qui a entraîné la chute de Boltz n’a rien à voir avec l’IA – c’est plutôt liée au fait de qui paie pour maintenir les rails open-source en vie.

Boltz, le pont non conservatoire qui permet de transférer des Bitcoins entre la chaîne principale, le Lightning Network (la couche de paiement rapide de Bitcoin) et Liquid (une chaîne de règlement confédérée), s’est arrêté ce lundi matin.5:54 AM ETAucuns fonds n’ont été volés. Aucun utilisateur n’a perdu accès à ses cryptomonnaies. Selon toutes les mesures qui permettraient de mesurer l’état d’urgence sur Twitter concernant la cryptoeconomie, rien ne s’est passé.

C’est exactement le point.

Le système de Boltz, qui ne implique aucune responsabilité pour les utilisateurs – et qui repose sur des contrats à temps chiffrés, utilisant la cryptographie pour éviter que ni l’un ni l’autre ne puisse tromper pendant une transaction – fonctionnait exactement comme prévu. Mais le service lui-même est en cours de fermeture indéfiniment, car son petit équipe, financée par elle-même, ne peut plus suivre le rythme auquel les attaquants découvrent et adaptent les vulnérabilités dans son code. Après plusieurs mois de exploitations contenues, suivies par ce que l’équipe a décrit comme une “accélération drastique” ces derniers jours, Boltz a conclu que…Les attaquants iternent maintenant plus rapidement que les équipes de notre taille peuvent les trouver et corriger..

L’histoire ne concerne pas l’utilisation de l’IA pour détruire un pont. Il s’agit plutôt d’une asymétrie structurelle qui existe depuis longtemps, mais qui atteint maintenant un point de rupture : l’infrastructure Bitcoin open source est maintenue par des équipes sous-financées, tandis que les attaquants, utilisant des outils aidés par l’IA, peuvent explorer les bases de données publiques à une vitesse élevée. La transparence qui rend le code open source fiable en fait également une cible idéale pour les attaques.

Ce que Boltz fait réellement

Boltz a été lancé en avril 2019 et est devenu le système de compensation des swaps par défaut au sein des différents niveaux du Bitcoin. Si vous avez utilisé un portefeuille Lightning pour transférer des bitcoins sur Liquid, ou si vous avez échangé des bitcoins encodés en BTC sans passer par une bourse, alors vous avez probablement utilisé Boltz. Ce n’est pas un protocole au sens où il s’agirait d’une monnaie ou d’un niveau de gouvernance. C’est plutôt un service – une entreprise – qui gère l’interface d’échange non dépositaire la plus utilisée dans le Bitcoin.

Cette distinction est importante. Comme Boltz est une entreprise entièrement autofinancée, sans aucun fonds de roulement provenant de capitaux risqués, les pertes liées aux failles de sécurité proviennent directement de son propre budget d’exploitation. Ce ne sont pas des pertes liées aux utilisateurs. L’équipe a été claire à ce sujet :Les pertes étaient entièrement de notre responsabilité..

Mais une équipe qui se soutient elle-même et qui prend en charge les coûts opérationnels liés à la défense des infrastructures ne constitue pas un équilibre durable, lorsque le modèle de menace s’accélère.

La semaine où il est devenu visible

Le arrêt de Boltz ne s’est pas produit en isolation. Deux jours plus tôt, le 1er août, Boltz a discrètement désactivé les transactions via EVM, pour les monnaies comme USDT, USDC et les variantes de Bitcoin liées à l’EVM. Il a prétendu que c’était dû à un “bug dans notre intégration avec l’EVM”. À ce moment-là, il a assuré aux utilisateurs que les services de swaps via Lightning, Liquid et BTC sur la chaîne blockchain fonctionnaient normalement. Cette annonce ressemble maintenant à une étape précoce dans cette escalade.

Ce qui est encore plus significatif, c’est la situation plus globale concernant la sécurité de Bitcoin au cours de la semaine. À partir du 30 juillet, une faille dans le firmware des portefeuilles hardware Coldcard a provoqué une série d’attaques. Cette faille provenait d’une mise à jour datant de mars 2021, qui rendait les phrases de sécurité compréhensibles. Ces attaques ont entraîné un décaissement considérable…114 millions de bitcoins jusqu’au 4 aoûtUn actif synthétique dédié au Metronome a perdu environ 16 millions de dollars à la fin du mois de juillet. Un attaque de type “script-poisoning” de la part d’Adform a affecté les fonctionnalités de copier-coller des adresses de portefeuille le 1er août.

Francis Pouliot, PDG de Bull Bitcoin – dont le portefeuille utilise Boltz pour les transactions Lightning et Liquid – a clairement posé des limites : « D’abord, l’exploit lié à Coldcard. Maintenant, une partie essentielle de l’infrastructure de Lightning est hors service. Nous sommes sans aucun doute dans une situation défavorable dans cette guerre des tokens. »

“Token War” n’est pas un terme très connu dans le monde des cryptomonnaies. Mais il décrit bien ce qui se passe : il s’agit d’une guerre des ressources entre ceux qui maintiennent l’infrastructure open-source de Bitcoin et les groupes qui en profitent. L’asymétrie des ressources est donc la variable que l’idéalisme open-source n’a pas réussi à résoudre.

Pourquoi l’asymétrie est l’histoire réelle

La manière de voir les choses par Boltz est intéressante à considérer un instant. L’équipe a décrit ce qu’elle observe comme un changement de paradigme majeur pour les services Bitcoin qui fonctionnent sur une stack open source. Ils ont également dit que les attaquants semblent être “de nombreux groupes compétents”, et qu’on ne peut pas s’attendre à ce que les services de swap reprennent leurs fonctions dans l’immédiat.

Le langage est mesuré, presque sous-estimé. Mais le sous-texte est clair : l’économie de la défense du code public a changé.

Voici le mécanisme en question. Les bases de données open source sont lisibles par n’importe qui – c’est pourquoi elles peuvent être auditées, revues par la communauté et considérées comme fiables. Les outils d’IA peuvent désormais scanner ces mêmes répositories publics, identifier les vulnérabilités potentielles, générer des stratégies d’exploitation, et s’adapter lorsque une approche ne fonctionne pas. Le coût marginal pour l’attaquant pour chaque tentative nouvelle est proche de zéro. Le coût marginal pour le défenseur – c’est-à-dire le traitement des résultats, la création de correctifs, les tests des modifications et la coordination au sein d’une petite équipe – n’est pas si élevé.

Cette asymétrie existe toujours, sous une forme ou une autre. Mais comme l’a dit Michael Coates, chef de la sécurité informatique de la Fondation Solana, en juillet : « Nous sommes à un point de bascule pour l’industrie, où les humains ne peuvent plus gérer ces menaces. Le seul chemin à suivre est d’avoir une défense autonome qui fonctionne à la vitesse des machines. »

Coates fait partie d’une équipe bien financée, au sein d’une fondation soutenue par des capitaux institutionnels. Boltz, quant à lui, travaille avec des fonds propres. La différence entre eux réside dans le problème structurel qui les oppose.

D’autres projets le voient déjà en pratique. PayPerQ, un service d’IA payant par prompt, qui accepte des cryptomonnaies, a déclaré aux journalistes qu’il lutte contre les attaques informatiques tous les deux mois, depuis plusieurs mois. Nous croyons que la plupart de ces attaques sont causées par des technologies basées sur l’IA.

Que se passe-t-il ensuite avec les installations sanitaires ?

Les conséquences immédiates sont pratiques. Aqua, le portefeuille JAN3, et Bull Bitcoin dépendent tous deux de Boltz pour les échanges Lightning et Liquid. ZEUS, un portefeuille Lightning qui utilise sa propre version de l’infrastructure open-source de Boltz, a également interrompu ses fonctionnalités. Les utilisateurs qui doivent se déplacer entre les différents niveaux de Bitcoin se retrouvent avec des fonctionnalités endommagées. Les équipes de développement des portefeuilles s’efforcent actuellement de restaurer ce que Boltz avait fourni.

Aucs fonds utilisateurs ne sont en danger. Le mécanisme de remboursement unilatéral dans le système de swap atomique de Boltz fonctionne toujours, sans que l’entreprise n’ait besoin d’une infrastructure particulière. Mais la disponibilité des services constitue également un risque – et c’est un problème que l’architecture non-custodiale ne peut pas résoudre.

Lucas Ferreira, directeur exécutif de la organisation non lucrative Vinteum, qui travaille dans le domaine du Bitcoin, a posé la question de manière très directe : « Boltz dispose d’une équipe brillante, mais il s’agit d’une petite équipe face à des groupes de hackers très sophistiqués, utilisant l’IA pour attaquer. Nous aurons besoin de davantage de financement pour le secteur open source, afin que notre infrastructure reste sécurisée et résiliente. »

Cette phrase – « davantage de financements pour le domaine du code ouvert » – constitue la conclusion structurelle. Ce n’est pas une solution spécifique pour Boltz, mais plutôt une reconnaissance du fait que le modèle actuel, où les équipes se financent elles-mêmes et qui assurent la maintenance des fonctionnalités essentielles de Bitcoin, devient insoutenable.

Boltz lui-même n’a pas perdu d’argent des utilisateurs. Il a absorbé les pertes opérationnelles et a fermé ses activités plutôt que de prendre un risque supplémentaire. C’est une décision judicieuse. Mais c’est aussi un signe que les autres équipes qui exploitent une même infrastructure, et qui sont dépendantes de fonds insuffisants, pourraient être dans une situation difficile.

La question qui compte n’est pas de savoir si Boltz reviendra. C’est plutôt si le reste de l’écosystème est prêt à financer la défense de ces lignes de transport qui ne disposent d’aucun modèle économique, aucune source de revenus, et aucun soutien financier – car l’alternative consiste à regarder ces lignes de transport disparaître une par une.

Je pense que nous connaîtrons la réponse bientôt, en fonction de la manière dont les équipes chargées des wallets, les fondations de protocoles ou la communauté dans son ensemble considèrent cela comme un incident lié à Boltz, ou comme le premier signe d’une rupture dans l’association selon laquelle l’infrastructure open-source de Bitcoin peut fonctionner sans problèmes et avec des budgets suffisants.