Команда Bitcoin Red Team выявила 7,958 проблем после сканирования Kimi K3

Команда Bitcoin Red Team расширила свой обзор безопасности с помощью ИИ на 501 проект с открытым исходным кодом, связанным с Bitcoin, зафиксировав 7,958 находок в своем последнем детальном отчете после 108 часов работы.

Резюме

• Команда Bitcoin Red Team просканировала 501 проект и зафиксировала 7,958 находок после 108 часов обзоров.
• Исследователи классифицировали 1,280 находок как высокие или критические, но многие из них все еще требуют человеческой проверки.
• Около 24,7% находок имели воспроизводимые доказательства, в то время как 29,4% были сообщены выше по цепочке к поддерживающим проектам.
• Kimi K3 стал основным инструментом ИИ кампании, так как исследователи широко тестировали программное обеспечение с открытым исходным кодом Bitcoin.
• BTCPay Server выпустил исправления после того, как команда Bitcoin Red Team и независимые исследователи сообщили о недавних уязвимостях безопасности.

Калле, псевдоним разработчика Bitcoin, участвующего в этой работе, сказал 13 августа, что команда теперь завершила базовое сканирование почти всей экосистемы Bitcoin с открытым исходным кодом и что большая часть уязвимостей, которые легче всего найти, уже была исследована.

Основные цифры требуют важного уточнения. 7,958 находок не представляют собой 7,958 подтвержденных уязвимостей, поддающихся эксплуатации. Команда классифицировала 1,280 как высокие или критические, в то время как 24,7% всех находок были динамически воспроизведены, а 29,4% были сообщены выше по цепочке на отметке в 108 часов. Проверка поддерживающими и человеческое воспроизведение остаются частью процесса верификации.

Kimi K3 стал множителем силы безопасности
Калле сказал, что две недели работы с Kimi K3 от Moonshot AI показали, как быстро современные модели могут исследовать годы накопленного кода с открытым исходным кодом. Он описал ситуацию как "массовое столкновение" между старым программным обеспечением и передовым ИИ, добавив: "все сломано, биткойн горит". Эти слова являются его характеристикой и не должны восприниматься как доказательство того, что Bitcoin Core или каждый проект Bitcoin скомпрометирован.

Независимые тестирования подтверждают более узкую точку зрения, что Kimi K3 обладает значительными возможностями в области кибербезопасности. Совместная оценка Института ИИ безопасности Великобритании и CAISI США показала, что модель превзошла GLM-5.2 в тестировании на разработку эксплойтов, но осталась позади самых сильных закрытых моделей США. Kimi K3 набрала 32% на ExploitBench и достигла произвольного выполнения кода на ноль из 41 образца в этом тесте.

Ранее проверка команды Bitcoin Red Team выявила 4,962 потенциальные проблемы в 390 проектах Bitcoin, включая 720, которые тогда были классифицированы как высокие или критические. Новая оценка показывает, что обзор значительно расширился после первой волны.

Поддерживающие уже проверяют и исправляют находки
Кампания вышла за рамки автоматического сканирования. Официальный релиз BTCPay Server на GitHub отметил исследователей команды Bitcoin Red Team Бруно Гарсию и Бена Кармана за сообщение о критической уязвимости, которая уже использовалась. Версия 2.4.2 исправила обход двухфакторной аутентификации, затрагивающий базовую аутентификацию Greenfield.

BTCPay позже подтвердил, что злоумышленники получили учетные данные администратора LND из затронутых установок и использовали их для доступа к связанным кошелькам Lightning. Проект сообщил, что обрабатывает дополнительные отчеты от команды Bitcoin Red Team, Project Loupe, Magic Grants и независимых исследователей, одновременно усиливая свои процессы сканирования и обзора.

14 августа BTCPay объявил о еще одном кандидате на релиз, сосредоточенном на безопасности, v2.4.3-rc4, который решает уязвимости, сообщенные этими группами. В связанных материалах сторонники BTCPay поддержали вознаграждение за восстановление после предыдущей эксплуатации, а фонд пообещал 0.21 BTC в фонд команды Bitcoin Red Team.

Эти исправления дают конкретные доказательства того, что поддерживающие проверяют по крайней мере некоторые серьезные отчеты команды Red Team. Они не подтверждают каждый элемент в наборе данных из 7,958 находок. Аудиты с помощью ИИ могут давать ложные срабатывания, дублирующие отчеты и оценки серьезности, которые меняются после ручного расследования, что делает верификацию центральной для интерпретации цифр.

Проекты Bitcoin сталкиваются с более быстрым циклом безопасности
Калле утверждал, что проекты, которые не поддерживаются, теперь должны рассматриваться с большей осторожностью, поскольку ИИ резко снизил стоимость поиска и тестирования уязвимостей. Он также сказал, что время реакции становится полезным индикатором здоровья проекта и что поддерживающим все чаще понадобятся свои собственные постоянные каналы аудита ИИ, а не случайные внешние обзоры. Это выводы Калле из кампании, а не универсальные правила безопасности.

Широкая экосистема уже движется в этом направлении. OpenSats создал ускоренный маршрут грантов для красной команды, сосредоточенный частично на возмещении исследователей за затраты на LLM. Более 40 организаций Bitcoin и цифровых активов также попросили ведущие лаборатории ИИ предоставить проверенным защитникам с открытым исходным кодом контролируемый доступ к передовым моделям.

Как сообщало crypto.news, отраслевой альянс предупредил, что разработчики Bitcoin могут отстать от злоумышленников без доступа к передовым моделям ИИ. Запрос не требует неограниченного доступа. Он предлагает проверенным исследователям, безопасным средам, достаточным вычислительным ресурсам и прямым каналам связи с командами безопасности ИИ.

Следующая фаза, вероятно, будет двигаться медленнее, чем первоначальная проверка. Автоматическое обнаружение может масштабироваться быстро, в то время как воспроизведение, ответственное раскрытие, разработка патчей и регрессионное тестирование требуют больше времени. Проекты, получающие отчеты, должны определить, какие находки поддаются эксплуатации, насколько срочно пользователям нужны обновления и когда технические детали могут безопасно стать публичными.

Для пользователей Bitcoin вывод более узкий, чем предполагают самые большие цифры. Команда Red Team сообщила о большом объеме потенциальных уязвимостей в программном обеспечении, связанном с Bitcoin, а не о доказательствах того, что базовый консенсусный протокол Bitcoin провалился. Непосредственная проблема безопасности сосредоточена на кошельках, инфраструктуре Lightning, программном обеспечении для платежей и библиотеках, содержащих старый или слабо проверенный код.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.