Audit di sicurezza AI su Bitcoin rivela 85 vulnerabilità critiche in 390 repository » CoinEagle

Punti Chiave

• Il Bitcoin Red Team ha individuato 85 falle critiche in 390 repository nell’arco di 27,5 ore.
• L’audit è stato eseguito dopo l’exploit dell’RNG di Coldcard che ha causato perdite superiori a 100 milioni di dollari.

Un’iniziativa volontaria conosciuta come Bitcoin Red Team ha segnalato migliaia di vulnerabilità all’interno di repository open-source di Bitcoin durante il suo primo giorno di revisione coordinata.

Il gruppo, guidato dallo sviluppatore Calle e dal CEO di AnchorWatch Rob Hamilton, ha registrato 4.962 rilevamenti in 27,5 ore, inclusi 85 problemi critici e 635 di gravità elevata.

Oltre 40.000 dollari in risorse di calcolo per intelligenza artificiale hanno sostenuto l’iniziativa, con il supporto finanziario fornito da OpenSats, una nonprofit che supporta lo sviluppo di Bitcoin open-source.

L’audit è stato effettuato a seguito di un grave incidente di sicurezza legato a una falla nel generatore di numeri casuali dei wallet hardware Coldcard, che ha portato a perdite confermate superiori a 100 milioni di dollari.

Ambito della Revisione di Sicurezza Guidata dall’IA

Il Red Team ha creato un sistema di revisione che copre 171.599 righe di codice per individuare le librerie software fondamentali di Bitcoin e documentare vulnerabilità riproducibili.

Secondo gli aggiornamenti del progetto, il 21,4% dei rilevamenti è stato finora riprodotto con successo.

Calle ha dichiarato che il ritmo delle scoperte era in media di circa un exploit critico all’ora per ogni contributore nella fase iniziale.

Il team ha utilizzato diversi modelli di intelligenza artificiale, tra cui Kimi K3, GPT Sol, Fable, Opus e GLM5.2, per scansionare i repository e generare report strutturati per i manutentori.

Le restrizioni iniziali all’accesso di alcuni sistemi di IA con sede negli Stati Uniti hanno portato il team a fare maggiore affidamento su modelli open-source cinesi prima che venisse ripristinato un accesso più ampio.

Hamilton ha indicato che si prevede che il sistema di revisione venga reso open-source, permettendo alle aziende di testare sia codici Bitcoin open-source sia closed-source.

Violazione Coldcard e Risposta del Settore

L’iniziativa è stata lanciata dopo che degli attaccanti hanno sfruttato una vulnerabilità nell’implementazione dell’RNG di Coldcard, colpendo i dispositivi MK3+ e consentendo il prelievo dei fondi.

La ricerca ha identificato almeno 15 attaccanti distinti che hanno approfittato della vulnerabilità prima che venisse rilasciato un firmware aggiornato.

Gli utenti che non hanno migrato i fondi su wallet generati tramite firmware aggiornato potrebbero rimanere esposti.

Boltz exchange ha annunciato una sospensione temporanea di alcune operazioni mentre exchange e fornitori di servizi hanno valutato le possibili vulnerabilità identificate con il supporto dell’IA nel contesto post-incidente più ampio.