Команда Bitcoin Red, состоящая из 16 исследователей, внедрила инновационный метод аудита, комбинирующий модели ИИ (искусственного интеллекта) и ручные проверки, и обнаружила 5000 уязвимостей.
За короткий период около 30 часов было охвачено 390 проектов с открытым исходным кодом, из которых было извлечено 4962 потенциальные уязвимости. В их числе 720 серьезных проблем, включая 85 «критических», что зафиксировало удивительный темп выявления 2.31 высокорисковых областей на одного исследователя в час.
Однако этот быстрый автоматизированный анализ вызвал сильное беспокойство в сообществе. На данный момент процент подтвержденных случаев воспроизведения составляет всего 21.4%, и избежать неточных отчетов и ложных срабатываний невозможно. Технические специалисты по открытым исходным кодам сейчас перегружены работой по проверке и верификации поступающих отчетов и применению патчей.
Фоном для этого масштабного расследования послужил серьезный недостаток случайности в алгоритме генерации семян аппаратного кошелька Coldcard.
В результате серии атак, вызванных этой проблемой, было похищено более 1816 BTC на сумму более 116 миллионов долларов (около 18.36 миллиарда иен) с более чем 5200 адресов. Учитывая потенциальные убытки, эта сумма может достигать 2055 BTC, что вызвало сильное чувство кризиса в отрасли.
Хотя производитель Coinkite выпустил обновление прошивки, для обеспечения безопасности средств, сгенерированных с использованием старых значений семян, необходимо перейти на новые семена и перевести все активы. Получив этот горький урок, команда Red, получившая более 40000 долларов (около 6330000 иен) от некоммерческой организации OpenSats, продвигает открытие инструментов для верификации и стремится создать многоуровневую защиту, включая не только основной код, но и зависимости и настройки сборки.
Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.





























