Chiến dịch bảo mật AI Bitcoin phát hiện gần 5.000 lỗi phần mềm trong 390 dự án

Một chiến dịch bảo mật phối hợp liên quan đến Bitcoin đã phát hiện gần 5.000 vấn đề phần mềm trên hàng trăm dự án mã nguồn mở chỉ trong khoảng 30 giờ. Nỗ lực này kết hợp chuyên môn của con người với các công cụ trí tuệ nhân tạo để xác định các điểm yếu phần mềm.

Sáng kiến này đã tập hợp 16 nhà nghiên cứu bảo mật do nhà phát triển Calle dẫn đầu, với sự hỗ trợ từ OpenSats, OpenCode và các nhà tài trợ AI inference. Nhóm đã phối hợp tiến hành một cuộc rà soát trên hàng trăm dự án liên quan đến Bitcoin.

Phân tích các phát hiện

Nhóm đã báo cáo 4.962 phát hiện trên 390 dự án liên quan đến Bitcoin trong chiến dịch này. Tổng cộng có 85 vấn đề nghiêm trọng và 635 phát hiện mức độ cao, đưa số lượng báo cáo nghiêm trọng nhất lên 720.

Chiến dịch diễn ra với tốc độ nhanh, trung bình khoảng 166 phát hiện được báo cáo mỗi giờ trong suốt quá trình rà soát. Dựa trên số liệu đã công bố, nhóm xác định khoảng 2,3 vấn đề nghiêm trọng hoặc mức độ cao với mỗi giờ người dành để kiểm tra phần mềm.

Các nhà nghiên cứu cho biết chiến dịch này khác với kiểm định an ninh truyền thống vì các nhà rà soát đã chủ động hướng dẫn hệ thống AI trong quá trình kiểm thử. Mỗi người tham gia sử dụng các chỉ dẫn và phương pháp khác nhau, giúp phát hiện ra những điểm yếu mà một cách tiếp cận duy nhất có thể bỏ sót.

Bảng tổng kết cuối cùng còn bao gồm các phát hiện được thu thập bởi một cộng tác viên trước khi chiến dịch trực tiếp chính thức bắt đầu. Sau khi bổ sung kết quả đó, các thư viện crypto và bộ công cụ phát triển phần mềm ghi nhận số lượng phát hiện lớn nhất với 1.385 vấn đề được báo cáo.

Ý nghĩa của các phát hiện này

Nhóm cho biết khoảng một trong bảy phát hiện được báo cáo thuộc các thể loại mức độ cao hoặc nghiêm trọng. Chỉ có một dự án được rà soát là hoàn thành chiến dịch mà không xuất hiện vấn đề nào, khiến nhà phát triển Bitcoin Core Matt Corallo đùa vui trong phần nhận xét.

Các nhà nghiên cứu đã bắt đầu gửi các phát hiện nghiêm trọng đã được xác minh tới những người duy trì dự án bị ảnh hưởng kèm theo minh chứng thử nghiệm. Nhiều người duy trì dự án đã xác nhận báo cáo nhanh chóng, dù việc xử lý số lượng lớn như vậy vẫn là thách thức không nhỏ.

Chiến dịch diễn ra khi an ninh phần mềm Bitcoin đang được chú ý nhiều hơn trong hệ sinh thái sau một số sự cố bảo mật gần đây. Riêng Bitcoin ghi nhận khoảng 980 nghìn địa chỉ hoạt động hàng ngày vào ngày 31 tháng 7, mức cao nhất kể từ tháng 12 năm 2024. Đợt tăng vọt này xuất hiện sau khi kẻ tấn công bắt đầu quét các ví có seed được tạo bằng Coldcard firmware bị lỗi.