Un audit de sécurité Bitcoin par intelligence artificielle révèle 85 vulnérabilités critiques dans 390 dépôts » CoinEagle

Points Clés

• Bitcoin Red Team a identifié 85 failles critiques dans 390 dépôts en 27,5 heures.
• L’audit a suivi une faille de Coldcard RNG qui a entraîné plus de 100 millions de dollars de pertes.

Une initiative bénévole appelée Bitcoin Red Team a signalé des milliers de vulnérabilités dans des dépôts open-source Bitcoin lors de sa première journée d’audit coordonné.

Le groupe, dirigé par le développeur Calle et le CEO de AnchorWatch, Rob Hamilton, a recensé 4 962 anomalies en 27,5 heures, dont 85 critiques et 635 de haute gravité.

Plus de 40 000 dollars de ressources en intelligence artificielle ont financé cette mission, avec le soutien financier d’OpenSats, une association à but non lucratif soutenant le développement open-source de Bitcoin.

L’audit a suivi un important incident de sécurité impliquant une faille dans le générateur de nombres aléatoires des portefeuilles matériels Coldcard, ayant causé plus de 100 millions de dollars de pertes confirmées.

Périmètre de l’Audit de Sécurité Assisté par l’IA

Le Red Team a créé un environnement d’audit couvrant 171 599 lignes de code afin d’identifier les bibliothèques logicielles fondamentales Bitcoin et de documenter des vulnérabilités reproductibles.

Selon les informations du projet, 21,4 % des découvertes ont pu être reproduites jusqu’à présent.

Calle a déclaré que le rythme de découverte atteignait en moyenne une faille critique par heure et par contributeur pendant la phase initiale.

L’équipe a utilisé plusieurs modèles d’IA, dont Kimi K3, GPT Sol, Fable, Opus et GLM5.2, pour analyser les dépôts et générer des rapports structurés à l’attention des mainteneurs.

Des restrictions d’accès précoces à certains systèmes d’IA basés aux États-Unis ont amené l’équipe à recourir davantage à des modèles open-source chinois avant que l’accès plus large ne soit rétabli.

Hamilton a indiqué que l’outil de revue devrait être open-source, permettant aux entreprises de tester aussi bien du code open-source que fermé relatif à Bitcoin.

Violation Coldcard et Réaction de l’Industrie

L’initiative a été lancée après que des attaquants ont exploité une faille dans l’implémentation RNG de Coldcard, touchant les appareils MK3+ et autorisant le retrait de fonds.

Des recherches ont identifié au moins 15 attaquants distincts ayant profité de la vulnérabilité avant la publication du microprogramme corrigé.

Les utilisateurs n’ayant pas migré leurs fonds vers des portefeuilles générés sous le nouveau microprogramme restent potentiellement exposés.

La plateforme Boltz a annoncé une suspension temporaire de certaines opérations, le temps que les échanges et fournisseurs de services évaluent les potentielles découvertes de failles assistées par IA dans l’ensemble de l’écosystème après l’incident.