Что произошло
3 августа 2026 года около 05:54 по Нью-Йорку сервис Boltz — некастодиальный мост для обмена между основной сетью биткоина, Lightning Network и Liquid — молча отключил свопы. Примерно через шесть часов команда объяснила причину в своём аккаунте в X: сервис выключен «до дальнейшего уведомления» из-за волны автоматизированных атак.
Формулировка команды прямая: «За последние месяцы мы видели устойчивый рост автоматизированного, с помощью ИИ, прощупывания нашей инфраструктуры, и мы разобрались с несколькими эксплойтами. Каждый был локализован, но закономерность очевидна: атакующие итерируют быстрее, чем команда нашего размера успевает находить и латать».
Детали
Отключение шло в два захода: 1 августа Boltz выключил свопы через EVM-сети (USDT, USDC, TBTC, WBTC, RBTC), а 3 августа — всё остальное. По словам команды, в последние дни атаки «резко ускорились», и за ними стоят, судя по всему, несколько ресурсных групп.
Ключевое для пользователя: деньги не пропали. Boltz работает по схеме атомарных свопов — монеты во время обмена остаются под контролем самого пользователя, и сервис их не хранит. Команда подтвердила, что средства пользователей ни разу не были под угрозой, а убытки от локализованных эксплойтов компания понесла сама; сумму не раскрыли. На момент отключения в протоколе было заблокировано около $181 тыс. (данные Cointelegraph на 4 августа 2026 года) — то есть речь не о крупном пуле.
Пострадали сервисы, которые использовали Boltz как «движок» обмена: кошельки Aqua и Bull Bitcoin потеряли функции свопов Lightning и Liquid, а Lightning-кошелёк ZEUS остановил свой экземпляр Boltz. В зависимых кошельках попытка свопа теперь просто не проходит, часто без внятного сообщения об ошибке.
Возвраты работают: API Boltz оставлен включённым, чтобы обрабатывать рефанды, а односторонний возврат средств возможен и без инфраструктуры сервиса — он заложен в саму схему свопа. Поддержка на связи. При этом команда предупредила: «Не ждите, что свопы возобновятся в ближайшее время».
Что это значит
Касается это в первую очередь пользователей Lightning-кошельков, где Boltz стоял «под капотом». Если у вас висит незавершённый обмен — забирайте средства односторонним рефандом, ждать восстановления сервиса смысла нет. Для остальных практический вывод другой: удобная кнопка «обменять» в некастодиальном кошельке почти всегда опирается на чей-то внешний сервис, и его отключение выключает функцию целиком. Разница между «кошелёк хранит ваши ключи» и «кошелёк зависит от чужого сервера» — как раз тот случай, когда стоит понимать, что значит некастодиальный кошелёк на практике.
Отдельный сигнал — сама причина. Boltz называет происходящее «серьёзной сменой парадигмы для биткоин-сервисов на открытом стеке»: код виден всем, а перебирать его на уязвимости теперь можно машинно и круглосуточно. Похожие жалобы в 2026 году звучали и от других команд: сервис PayPerQ говорил, что отбивается от эксплойтов «через неделю», и большинство считает связанными с ИИ, а глава безопасности Solana сформулировал это как «люди не масштабируются под такие угрозы».
Горизонт неопределённый — сроков возобновления команда не назвала. Ближайшее ощутимое следствие уже наступило: свопы в зависимых кошельках не работают с 3 августа.
