Bitcoin-sikkerhedsinitiativ identificerer sårbarheder
Et frivilligt Bitcoin-sikkerhedsinitiativ har identificeret 4.962 potentielle sikkerhedsproblemer på tværs af 390 Bitcoin-relaterede projekter i løbet af sine første 29,8 timer med AI-assisterede kodegennemgange. Heraf er 720 klassificeret som høj eller kritisk alvorlighed. Ifølge Bitcoin-udvikler Calle har Bitcoin Red Team lanceret en koordineret sikkerhedsgennemgang, der dækker Bitcoin-biblioteker, tegnebøger, infrastruktursoftware og andre open-source projekter efter de nylige angreb på Coldcard-tegnebøger.
Alvorlig sikkerhedssituation
“Vi har skrevet flere testværktøjer og lancerer en stor bølge af gennemgange af mange kerne Bitcoin-projekter: kryptografiske biblioteker, tegnebøger, infrastruktur osv. Situationen er ekstremt alvorlig. Vi gennemsnitligt har omkring én kritisk udnyttelse per time per person,” sagde Calle.
Det frivillige arbejde inkluderer AnchorWatch CEO Rob Hamilton og andre Bitcoin-bidragydere, der bruger AI-assisterede værktøjer sammen med manuel verifikation for at identificere software-sårbarheder. Calle nævnte, at gruppen allerede havde rapporteret kritiske sårbarheder til flere projekter inden for de foregående 12 timer og beskrev sikkerhedssituationen som “ekstremt dårlig.”
Initiativets omfang og omkostninger
Kampagnen kommer mindre end en uge efter, at angribere udnyttede en fejl, der påvirkede sårbar Coldcard hardware-tegnebogsfirmware. Ifølge data delt af Calle har initiativet afsluttet automatiserede og manuelle gennemgange på tværs af 390 repositories, hvilket identificerede 4.962 potentielle problemer. Af disse er 720 blevet klassificeret som høj- eller kritisk alvorlighed.
Teamet tilføjede, at 21,4% af de rapporterede problemer allerede er blevet reproduceret, hvilket indikerer, at en del af de oprindelige AI-genererede fund er blevet uafhængigt verificeret. Gennemgangskampagnen spænder over kryptografiske biblioteker, tegnebogsoftware, infrastrukturkomponenter og andre projekter i Bitcoin-økosystemet.
Calle afslørede, at kampagnen forbruger cirka $10.000 om dagen i computeromkostninger, som OpenSats dækker. Kimi Moonshot har leveret AI-konti og adgang til sin Kimi K3-model for at støtte gennemgangene. Gruppen har også bedt medlemmer af samfundet om at bidrage med computerkonti eller digitale tokens for at opretholde initiativet.
Baggrund for sikkerhedsgennemgangen
Gennemgangsindsatsen følger en af de største kendte tegnebogssikkerhedshændelser, der har påvirket Bitcoin-brugere i de seneste år. Galaxy Research har bekræftet, at angribere stjal 1.596 BTC fra cirka 7.300 adresser på tværs af tre bekræftede angrebsbølger. Forskningsfirmaet har også identificeret en mistænkt fjerde koordineret bølge, der kunne hæve de samlede tab til omkring 2.055 BTC.
Analytikere har rapporteret, at en anden angriber begyndte at rute 64 BTC gennem en Bitcoin mixer, mens den største kendte angriber har fortsat med at holde 1.159 BTC på tværs af syv adresser uden at overføre midlerne.
Coldcard-sårbarhed og konsekvenser
Ifølge Coinkite stammer Coldcard-sårbarheden fra en firmwareændring, der blev introduceret i marts 2021. Sårbare firmwareversioner stolede på en deterministisk pseudo-tilfældig generator under frøoprettelsen, hvilket resulterede i utilstrækkelig entropi. Nødfirmwareopdateringer er siden blevet frigivet til alle berørte produkter, men brugere skal generere helt nye frøfraser på opdaterede enheder.
Fremtidige skridt og verifikation
Mens efterforskningen af Coldcard forbliver aktiv, fortsætter Bitcoin Red Team med at indsende nyidentificerede sårbarheder til berørte softwareprojekter. Calle nævnte, at flere kritiske problemer blev afsløret privat til projektvedligeholdere inden for de foregående 12 timer. Teamet kombinerer AI-genererede fund med menneskelig gennemgang, og reproduktion af rapporterede sårbarheder er en del af verifikationsprocessen.
