Last Updated on 2026年8月7日 by oba3
ビットコイン（Bitcoin）関連の非カストディ型交換サービスを提供するボルツ（Boltz）が、2026年8月3日にすべての交換機能を停止した。公式発表は事業終了ではなく、再開時期を定めない一時停止としており、新規交換はできない一方、未完了取引の返金手段とサポート窓口は維持されている。
ボルツは、数カ月にわたり複数の攻撃や悪用へ対応してきたものの、自動化や人工知能（AI）の支援を受けたとみられる攻撃者の反復速度が、チームの調査と修正の速度を上回ったと説明した。ただし、使用されたAIモデル、攻撃ログ、脆弱性の種類は公開されておらず、AIの関与を外部から独立して検証できる段階ではない。
何が起きたのか？
ボルツは、ビットコインのメインチェーン、ライトニングネットワーク（Lightning Network）、リキッド（Liquid）などの間で資産を交換するインフラを提供してきた。運営会社へ長期間資産を預ける取引所とは異なり、暗号学的な条件と返金経路を組み合わせて交換を成立させる非カストディ型の設計を採用している。
全面停止の前段として、8月1日にはイーサリアム仮想マシン（EVM）連携の不具合を理由に、テザー（USDT）、USDコイン（USDC）、ラップドビットコイン（WBTC）、tBTC、RBTCなどを含む一部スワップが停止された。この時点では、ビットコイン、ライトニング、リキッド間の交換は稼働を続けていた。
しかし、調査を進めたボルツは8月3日、対象を拡大し、ビットコイン、ライトニング、リキッド、ルートストック（Rootstock）、アーケード（Arkade）、ステーブルコイン関連を含むすべての新規交換を停止した。限定的な不具合対応から全面停止へ移ったことで、単一機能の修正では安全な運営を再開できないと判断したことが分かる。
ボルツは、数カ月の間に複数の十分な資源を持つ攻撃者グループから悪用を受け、それぞれを封じ込めてきたと説明している。新しい攻撃手法を試す速度が速まり、チームが一つの問題を分析し、修正し、再検証する間に別の手法が試される状態になったという。
同社によれば、利用者資金に損失はなく、攻撃によって発生した損失はボルツ側が負担した。ただし、攻撃経路、被害額、影響したシステム、修正済みの範囲は公開されていないため、この説明を外部から検証する材料は限られている。
新規交換の停止後も、協調的な返金を処理する返金API、ボルツのインフラへ依存しない一方的な返金手段、利用者向けのサポート窓口は継続している。返金には取引の状態や期限に応じた操作が必要となる場合があり、未完了取引が自動的に即時返金されるとは限らない。
なぜ重要なのか？
今回の停止は、AIが新しい脆弱性を完全自動で発見したと確認された事件ではない。ボルツが示したのは、攻撃候補の探索、既存手法の変形、入力条件の変更などが自動化され、攻撃者が短い周期で試行を繰り返しているという運営上の認識である。
防御側は、問題を見つけた後に原因を特定し、資金ロックや返金処理への影響を調べ、修正版が別の欠陥を生まないか確認しなければならない。攻撃側が大量の試行を低コストで繰り返せる一方、運営側は一つずつ安全性を確認する必要があるため、速度に非対称性が生まれる。
ボルツは約7年間にわたり対応範囲を広げ、複数のウォレットや決済サービスの交換基盤として使われてきた。単独のウェブサービスが止まっただけではなく、外部アプリに組み込まれていた資金移動経路が同時に利用できなくなった点が重要である。
市場構造への影響
非カストディ型の設計は、運営会社が利用者資産を一括保管するリスクを抑える。しかし、交換条件を作るサーバー、流動性、価格提示、取引監視、返金処理まで自動的に分散化されるわけではない。今回、運営チームが全交換機能を止められたことは、ボルツが重要な調整機能を担っていたことを示している。
一方、新規交換を停止しても、一方的な返金経路を残せる設計は利用者保護に役立つ。停止権限があることと、運営者が止まれば資金も動かせなくなることは同じではない。どの機能が運営サーバーへ依存し、どの処理を利用者だけで完了できるかが、非カストディ型サービスを評価する基準になる。
これまでの監査では、公開前にコードを確認し、発見した問題を修正してから提供する方法が中心だった。攻撃の試行回数が増えれば、一度の監査だけではなく、稼働中の異常検知、機能ごとの停止、利用上限、返金経路、再開前の再検証まで含めた運営設計が求められる。
緊急停止を細かく実行できるほど、被害範囲は限定しやすい。その反面、少数の運営者の判断で利用できなくなる経路も増える。完全に止められない仕組みを目指すのか、停止後も利用者が自力で資金を回収できる設計を重視するのかが、交換インフラの選択肢を分ける。
資金・規制・流動性との関係
ボルツを組み込んでいたアクア（Aqua）、ブル・ビットコイン（Bull Bitcoin）、ゼウス（ZEUS）などのサービスでは、一部機能への影響が報告されている。特に、ボルツをライトニングの流動性調整やオンチェーン資金との交換に利用していたサービスでは、従来の補充経路を一時的に使えなくなる。
ライトニングでは、ビットコインを保有しているだけで、常に希望する方向へ送受金できるわけではない。受取可能な残高や送金経路を調整する必要があり、ボルツのような交換サービスはメインチェーン上の資金をライトニング側へ移す手段として利用されてきた。
一つの接続事業者が停止すれば、利用者は別の交換サービス、オンチェーン取引、カストディ型サービスなどを選ぶ必要がある。代替先への利用集中や交換条件の変化は考えられるが、8月3日の停止によって市場全体の流動性が大幅に低下したと示す数値はまだ公表されていない。
現時点で、規制当局がボルツの停止を受けて新しい基準を発表した事実も確認されていない。まず注目すべきなのは、同社が公開する技術報告、攻撃による損失の範囲、再開に必要なシステム変更、統合サービスへの影響である。
初心者向け補足
アトミックスワップとは、暗号学的な条件を使って異なるネットワーク間の交換を成立させる仕組みである。片方だけが資産を受け取る状態を防ぎ、条件が成立しなかった場合には、一定の手続きや期限を経て資金を戻せるように設計される。
非カストディ型とは、サービス運営者が利用者の資産を長期間預からない方式を指す。ただし、運営者が不要になるわけではない。交換条件の提示、流動性の準備、サーバー運用、障害対応などに特定の事業者が関わる場合、その事業者の停止はサービスの可用性へ影響する。
今回の停止では、新しい交換を始めることはできないが、すでに開始した取引の返金手段は残されている。利用者にとっては、サービスが非カストディかどうかだけでなく、運営停止時に自分だけで資金を戻せるかを事前に確認することが重要になる。
Web3Timesの視点
ボルツの説明から読み取るべきなのは、AIの性能競争ではなく、攻撃と防御に必要な時間の差である。攻撃者は候補を次々に試せるが、運営側は資金移動を扱うコードを十分に検証してから公開しなければならない。この差が広がれば、修正を続けるより停止する方が安全な局面が生まれる。
同時に、AIの関与はボルツ側の評価にとどまる。使用モデルや技術ログが公開されていないため、AIが脆弱性を発見したのか、既存の攻撃を高速化したのか、人間の攻撃者が自動化ツールを補助的に使ったのかは判断できない。
今回の判断で特徴的なのは、顧客資金の大規模流出が確認される前に、対応能力の不足そのものを停止基準とした点だ。新規交換を止めながら返金経路を残したことで、サービスの可用性より未完了取引の回収を優先した。
今後の検討対象になるのは、機能別の停止基準、攻撃頻度を含む監視指標、第三者による再検証、返金手段の独立性、再開条件の公開である。ボルツがどの対策を採用するかは未公表だが、インフラの評価軸が監査実績だけでなく、攻撃が高速化した後も安全に止まり、利用者が資金を回収できるかへ広がったことは確かだ。
