Кампания по обеспечению безопасности Bitcoin с использованием искусственного интеллекта выявила почти 5000 уязвимостей в программном обеспечении в 390 проектах

Скоординированная кампания по безопасности Bitcoin выявила почти 5 000 программных проблем в сотнях open-source проектов за примерно 30 часов. В этом анализе человеческая экспертиза сочеталась с инструментами искусственного интеллекта для обнаружения уязвимостей программного обеспечения.

Инициативу организовали 16 исследователей по безопасности под руководством разработчика Calle; поддержку предоставили OpenSats, OpenCode и спонсоры по AI-инференсированию. Группа совместно провела согласованный аудит сотен проектов, связанных с Bitcoin.

Анализ результатов

Команда сообщила о 4 962 находках в 390 Bitcoin-проектах на протяжении кампании. В число выявленных проблем вошли 85 критических и 635 серьезных, всего 720 самых опасных отчетов.

Кампания продвигалась с высокой скоростью, с среднем около 166 находок ежечасно в ходе ревью. Согласно опубликованным данным, команда выявляла примерно 2,3 критические или серьезные проблемы на каждый человеко-час, затраченный на анализ ПО.

Исследователи отмечают, что кампания отличалась от традиционного аудита безопасности тем, что люди целенаправленно управляли системами AI во время тестирования. Каждый участник применял разные команды и методы, что позволило выявить уязвимости, которые могли бы остаться незамеченными при использовании одного подхода.

В итоговой статистике также включены находки, собранные одним участником до официального старта кампании. После их добавления крипто-библиотеки и наборы инструментов для разработки получили наибольшую долю находок — 1 385 проблем.

Что выявили результаты

Команда отмечает, что примерно одна из каждых семи выявленных проблем относилась к категории высокой или критической опасности. Лишь один анализируемый проект завершил кампанию без зарегистрированных уязвимостей, что вызвало шутливый комментарий от разработчика Bitcoin Core Matt Corallo.

Исследователи уже начали отправлять подтвержденные критические находки ответственным разработчикам проектов с сопровождающими демонстрациями повторных тестов. Многие разработчики оперативно подтвердили отчеты, хотя обработка такого большого объема представляет серьезную сложность.

Кампания проходит на фоне повышенного внимания к безопасности Bitcoin-программного обеспечения после нескольких недавних инцидентов. Кроме того, Bitcoin зафиксировал примерно 980 000 активных адресов в день 31 июля — максимальный уровень с декабря 2024 года. Резкий рост произошел после того, как злоумышленники начали "очищать" кошельки, чьи seed-фразы были сгенерированы с дефектной прошивкой Coldcard.