AI-аудит безопасности Bitcoin выявил 85 критических уязвимостей в 390 репозиториях » CoinEagle

Ключевые моменты

• Bitcoin Red Team обнаружила 85 критических уязвимостей в 390 репозиториях за 27,5 часов.
• Аудит последовал за эксплойтом генератора случайных чисел Coldcard, который привел к потерям свыше 100 миллионов долларов.

Волонтерская инициатива под названием Bitcoin Red Team сообщила о тысячах уязвимостей в открытых репозиториях Bitcoin в первый день скоординированного обзора.

Группу возглавляют разработчик Calle и генеральный директор AnchorWatch Rob Hamilton; они зафиксировали 4 962 находки за 27,5 часов, включая 85 критических и 635 высокоопасных проблем.

Более 40 000 долларов было выделено на вычислительные ресурсы искусственного интеллекта, при финансовой поддержке некоммерческой организации OpenSats, которая способствует развитию открытых Bitcoin-проектов.

Аудит последовал за крупным инцидентом безопасности, связанным с уязвимостью генератора случайных чисел в аппаратных кошельках Coldcard, что привело к подтверждённым убыткам свыше 100 миллионов долларов.

Объем проверки безопасности с применением ИИ

Bitcoin Red Team создала инструментарий для проверки, охватывающий 171 599 строк кода, чтобы выявить основные программные библиотеки Bitcoin и документировать воспроизводимые уязвимости.

Согласно обновлениям проекта, на данный момент успешно воспроизведено 21,4% обнаруженных проблем.

Calle отметил, что темп обнаружения составлял примерно одну критическую уязвимость в час на участника в начальной фазе.

Команда использовала несколько моделей ИИ, включая Kimi K3, GPT Sol, Fable, Opus и GLM5.2, чтобы сканировать репозитории и формировать структурированные отчеты для поддерживающих разработчиков.

Ранние ограничения на доступ к некоторым системам ИИ, базирующимся в США, привели к более активному использованию китайских открытых моделей до восстановления более широкого доступа.

Hamilton указал, что инструментарий проверки планируется сделать с открытым исходным кодом, что позволит компаниям тестировать как открытые, так и закрытые Bitcoin-кодовые базы.

Инцидент с Coldcard и реакция отрасли

Инициатива была запущена после того, как злоумышленники воспользовались уязвимостью реализации генератора случайных чисел в Coldcard, затронувшей устройства MK3+ и позволявшей вывести средства.

Исследование выявило как минимум 15 отдельных атакующих, успевших воспользоваться уязвимостью до выпуска исправленной прошивки.

Пользователи, которые не перевели средства на кошельки, сгенерированные под обновленной прошивкой, могут оставаться под угрозой.

Биржа Boltz объявила о временной приостановке определённых операций, поскольку биржи и сервисы оценивали потенциальные уязвимости, выявленные с помощью ИИ, в сложившейся после инцидента ситуации.