La campagne de sécurité Bitcoin basée sur l’IA détecte près de 5 000 vulnérabilités logicielles dans 390 projets

Une campagne coordonnée de sécurité autour de Bitcoin a permis de découvrir près de 5 000 problèmes logiciels dans des centaines de projets open source en environ 30 heures. L'effort combinait l'expertise humaine et des outils d'intelligence artificielle afin d'identifier des faiblesses logicielles.

L'initiative a rassemblé 16 chercheurs en sécurité sous la direction du développeur Calle, avec le soutien d’OpenSats, OpenCode et de sponsors spécialisés dans l'inférence IA. Le groupe a procédé à une revue coordonnée couvrant des centaines de projets liés à Bitcoin.

Analyse des découvertes

L’équipe a rapporté 4 962 éléments dans 390 projets liés à Bitcoin durant la campagne. Ce total intègre 85 problèmes critiques et 635 incidents de gravité élevée, portant le nombre de rapports les plus sérieux à 720.

La campagne a maintenu un rythme soutenu, avec une moyenne d'environ 166 signalements chaque heure tout au long de la revue. Selon les chiffres publiés, l'équipe a identifié environ 2,3 problèmes critiques ou de gravité élevée pour chaque heure-personne passée à examiner les logiciels.

Les chercheurs ont précisé que cette campagne différait d’un audit de sécurité traditionnel, car les réviseurs humains guidaient activement les systèmes d’IA lors des tests. Chaque participant utilisait différents prompts et méthodes, aidant ainsi à révéler des faiblesses qu'une approche unique aurait pu manquer.

Le bilan final intègre également des problèmes repérés par un contributeur avant le démarrage officiel de la campagne en direct. Après l'ajout de ces résultats, les bibliothèques crypto et kits de développement logiciel ont représenté la plus grande part des signalements, avec 1 385 problèmes recensés.

Ce que révèlent les découvertes

L’équipe a indiqué qu’environ un signalement sur sept relevait d’une gravité élevée ou critique. Un seul projet examiné aurait terminé la campagne sans le moindre problème relevé, ce qui a valu une remarque amusée du développeur Bitcoin Core Matt Corallo.

Les chercheurs ont d’ores et déjà commencé à transmettre les problèmes critiques vérifiés aux responsables des projets concernés, avec des démonstrations de tests de preuve de concept à l’appui. De nombreux responsables auraient rapidement confirmé les signalements, bien que le traitement d’un volume aussi important reste un défi conséquent.

Cette campagne intervient alors que la sécurité des logiciels Bitcoin fait l'objet d'une attention accrue dans l'écosystème, à la suite de plusieurs incidents récents. Parallèlement, Bitcoin a enregistré environ 0,98 million d'adresses actives quotidiennes le 31 juillet, soit le plus haut niveau depuis décembre 2024. Cette hausse est survenue après des attaques visant les portefeuilles dont les seeds avaient été générés avec un firmware Coldcard défectueux.