Campaña de seguridad de Bitcoin impulsada por IA detecta casi 5.000 problemas de software en 390 proyectos

Una campaña coordinada de seguridad en Bitcoin descubrió cerca de 5.000 problemas de software en cientos de proyectos de código abierto en aproximadamente 30 horas. El esfuerzo combinó la experiencia humana con herramientas de inteligencia artificial para identificar vulnerabilidades de software.

La iniciativa reunió a 16 investigadores de seguridad liderados por el desarrollador Calle, con el respaldo de OpenSats, OpenCode y patrocinadores de inferencia de IA. El grupo colaboró en una revisión coordinada que abarcó cientos de proyectos relacionados con Bitcoin.

Desglose de los hallazgos

El equipo reportó 4.962 hallazgos en 390 proyectos vinculados a Bitcoin durante la campaña. El total incluyó 85 problemas críticos y 635 hallazgos de alta gravedad, elevando el número de informes más graves a 720.

La campaña mantuvo un ritmo acelerado, promediando alrededor de 166 hallazgos reportados por hora durante la revisión. Según las cifras publicadas, el equipo identificó aproximadamente 2,3 problemas críticos o de alta gravedad por cada hora-persona dedicada al análisis de software.

Los investigadores comentaron que la campaña difería de una auditoría de seguridad tradicional porque los revisores humanos guiaron activamente a los sistemas de IA durante las pruebas. Cada participante utilizó diferentes prompts y métodos, ayudando a descubrir vulnerabilidades que una sola aproximación podría haber pasado por alto.

El conteo final también incluyó hallazgos recolectados por un colaborador antes de que la campaña en vivo comenzara oficialmente. Tras añadir esos resultados, las librerías de cripto y los kits de desarrollo de software registraron la mayor proporción de hallazgos, con 1.385 problemas informados.

Lo que revelaron los hallazgos

El equipo indicó que aproximadamente una de cada siete incidencias reportadas correspondía a las categorías de gravedad alta o crítica. Se reportó que sólo un proyecto revisado completó la campaña sin problemas identificados, lo que provocó un comentario humorístico del desarrollador de Bitcoin Core Matt Corallo.

Los investigadores ya comenzaron a enviar los hallazgos críticos verificados a los mantenedores de los proyectos afectados junto con demostraciones de validación de concepto. Según se informa, muchos mantenedores confirmaron rápidamente los reportes, aunque procesar un volumen tan grande sigue siendo un desafío importante.

La campaña llega en un momento en que la seguridad del software de Bitcoin recibe mayor atención en todo el ecosistema tras varios incidentes recientes. Por separado, Bitcoin registró aproximadamente 0,98 millones de direcciones activas diarias el 31 de julio, el nivel más alto desde diciembre de 2024. Este aumento se dio después de que atacantes comenzaran a vaciar wallets cuyas semillas habían sido generadas usando un firmware defectuoso de Coldcard.