Bitcoin Red Team znalazł 5 tys. błędów

AI na tropie luk w ekosystemie Bitcoina

Ochotnicza grupa Bitcoin Red Team poinformowała o wynikach szerokiego audytu bezpieczeństwa projektów związanych z Bitcoinem. W niespełna 30 godzin członkowie zespołu zgłosili 4 962 potencjalne problemy w 390 projektach.

Według przedstawionych danych, aż 720 zgłoszeń zakwalifikowano jako wysokiego lub krytycznego ryzyka. To oznacza, że AI wspierane przez ludzi wykrywało nie tylko drobne niedociągnięcia, ale też błędy, które mogłyby mieć realny wpływ na bezpieczeństwo użytkowników i deweloperów.

Jak działał audyt

W przedsięwzięciu brało udział 16 wolontariuszy pracujących praktycznie bez przerwy. Zespół korzystał z własnych metod przeglądu kodu, a także z różnych agentów AI, które analizowały repozytoria open source związane z Bitcoinem.

To podejście miało dawać szerszy zakres wyników niż jeden, ujednolicony sposób skanowania. Część wykrytych problemów została już potwierdzona w praktyce — około 21–21,4% zgłoszeń dało się odtworzyć za pomocą proof of concept.

Co istotne, 91% wyników pojawiło się przez automatyczne kanały przyjmowania zgłoszeń, ale zespół podkreślał, że nadal sporo pracy wymaga ręcznego „prowadzenia” modeli AI.

Gdzie znaleziono najwięcej problemów

Największy odsetek poważnych luk dotyczył projektów związanych z:

• privacy i coinjoin – 24% zgłoszeń o wysokim lub krytycznym znaczeniu,
• swaps i giełdami – 21%,
• płatnościami i narzędziami dla merchantów – 17%.

Najwięcej samych zgłoszeń trafiło do bibliotek kryptograficznych i SDK — łącznie 1 101. W tym segmencie odsetek najpoważniejszych błędów był jednak niższy i wyniósł około 10%.

Zespół podał też, że 8 zgłoszeń uznano za fałszywe alarmy, a dotąd tylko 19 projektów otrzymało formalne zgłoszenie problemów do swoich maintainerów.

Presja na maintainerów rośnie

Twórcy audytu przyznali, że fala zgłoszeń może być dla deweloperów przytłaczająca. Jednocześnie argumentują, że szybkie ujawnianie błędów ma sens, ponieważ to właśnie autorzy projektów najlepiej potrafią zweryfikować ich wagę i naprawić je najszybciej.

W praktyce oznacza to jednak rosnącą presję na cały ekosystem Bitcoina. Jeśli AI potrafi sprawdzać kod „w skali maszynowej”, to podobne narzędzia mogą być coraz częściej używane nie tylko przez obrońców, ale też przez potencjalnych atakujących.

Tło: bezpieczeństwo nie jest już tylko teorią

Temat nabrał dodatkowego znaczenia po głośnym incydencie z portfelem Coldcard, w którym błąd w firmware miał doprowadzić do strat użytkowników sięgających około 130 mln dolarów. W tamtym przypadku problem miał wynikać z użycia programowego fallbacku zamiast sprzętowego generatora losowości, co mogło sprawić, że klucze prywatne były łatwiejsze do przewidzenia.

Cała sytuacja pokazuje, że w świecie kryptowalut audyty bezpieczeństwa przestają być powolnym, ręcznym procesem. Coraz częściej stają się wyścigiem, w którym równie ważna jak sam kod jest szybkość jego analizy.