El equipo rojo de Bitcoin señala 7,958 problemas tras el escaneo de Kimi K3

El equipo rojo de Bitcoin ha ampliado su revisión de seguridad asistida por IA a 501 proyectos de código abierto relacionados con Bitcoin, registrando 7,958 hallazgos en su último recuento detallado tras 108 horas de trabajo.

Resumen

• El equipo rojo de Bitcoin escaneó 501 proyectos y registró 7,958 hallazgos tras 108 horas de revisiones.
• Los investigadores clasificaron 1,280 hallazgos como altos o críticos, pero muchos aún requieren verificación humana hoy.
• Aproximadamente el 24.7% de los hallazgos tenían pruebas reproducibles, mientras que el 29.4% se informaron a los mantenedores del proyecto.
• Kimi K3 se convirtió en el principal caballo de batalla de IA de la campaña mientras los investigadores probaban exhaustivamente el software de código abierto de Bitcoin.
• BTCPay Server lanzó correcciones después de que el equipo rojo de Bitcoin y los investigadores independientes informaran recientemente sobre vulnerabilidades de seguridad.

Calle, un desarrollador de Bitcoin seudónimo involucrado en el esfuerzo, dijo el 13 de agosto que el equipo ha completado ahora un escaneo básico de casi todo el ecosistema de código abierto de Bitcoin y que gran parte de la superficie de vulnerabilidad más fácil de encontrar ya ha sido examinada.

Los números destacados requieren una distinción importante. Los 7,958 hallazgos no representan 7,958 vulnerabilidades explotables confirmadas. El equipo clasificó 1,280 como altos o críticos, mientras que el 24.7% de todos los hallazgos se habían reproducido dinámicamente y el 29.4% se había informado a los mantenedores en la marca de 108 horas. La revisión de los mantenedores y la reproducción humana siguen siendo parte del proceso de verificación.

Kimi K3 se ha convertido en un multiplicador de fuerza de seguridad
Calle dijo que dos semanas de trabajo con Kimi K3 de Moonshot AI expusieron cuán rápidamente los modelos modernos pueden examinar años de código abierto acumulado. Describió la situación como una "colisión masiva" entre software más antiguo y IA de frontera, añadiendo que "todo está roto, Bitcoin está ardiendo". La redacción es su caracterización y no debe interpretarse como evidencia de que Bitcoin Core o cada proyecto de Bitcoin esté comprometido.

Las pruebas independientes respaldan el punto más estrecho de que Kimi K3 tiene una capacidad significativa en ciberseguridad. Una evaluación conjunta del Instituto de Seguridad de IA del Reino Unido y CAISI de EE. UU. encontró que el modelo superó a GLM-5.2 en pruebas de desarrollo de explotación, pero se mantuvo detrás de los modelos cerrados más fuertes de EE. UU. Kimi K3 obtuvo un 32% en ExploitBench y alcanzó la ejecución de código arbitrario en cero de 41 muestras en esa prueba.

La revisión anterior del equipo rojo de Bitcoin encontró 4,962 problemas potenciales en 390 proyectos de Bitcoin, incluidos 720 clasificados entonces como altos o críticos. El nuevo recuento muestra que la revisión se expandió materialmente después de esa primera ola.

Los mantenedores ya están validando y corrigiendo hallazgos
La campaña ha ido más allá del escaneo automatizado. La versión oficial de GitHub de BTCPay Server acreditó a los investigadores del equipo rojo de Bitcoin, Bruno Garcia y Ben Carman, por informar sobre una vulnerabilidad crítica que ya estaba siendo explotada. La versión 2.4.2 corrigió un bypass de autenticación de dos factores que afectaba a la Autenticación Básica de Greenfield.

BTCPay luego confirmó que los atacantes habían obtenido credenciales de macaroon de administrador de LND de instalaciones afectadas y las usaron para acceder a billeteras Lightning conectadas. El proyecto dijo que estaba procesando informes adicionales del equipo rojo de Bitcoin, Project Loupe, Magic Grants e investigadores independientes mientras fortalecía sus procesos de escaneo y revisión.

El 14 de agosto, BTCPay anunció otro candidato a lanzamiento enfocado en la seguridad, v2.4.3-rc4, abordando vulnerabilidades informadas por esos grupos. En la cobertura relacionada, los partidarios de BTCPay respaldaron una recompensa de recuperación después de la explotación anterior y la fundación prometió 0.21 BTC al fondo del equipo rojo de Bitcoin.

Esas correcciones dan evidencia concreta de que los mantenedores están validando al menos algunos informes serios del equipo rojo. No validan cada elemento en el conjunto de datos de 7,958 hallazgos. Las auditorías asistidas por IA pueden producir falsos positivos, informes duplicados y evaluaciones de severidad que cambian después de la investigación manual, haciendo que la verificación sea central para interpretar los números.

Los proyectos de Bitcoin enfrentan un ciclo de seguridad más rápido
Calle argumentó que los proyectos no mantenidos ahora deberían tratarse con mayor precaución porque la IA ha reducido drásticamente el costo de encontrar y probar debilidades. También dijo que el tiempo de respuesta se está convirtiendo en un indicador útil de la salud del proyecto y que los mantenedores necesitarán cada vez más sus propias tuberías de auditoría de IA continuas en lugar de revisiones externas ocasionales. Esas son las conclusiones de Calle de la campaña en lugar de reglas de seguridad universales.

El ecosistema más amplio ya se está moviendo en esa dirección. OpenSats ha creado una ruta de subvención de red rápida centrada en reembolsar parcialmente a los investigadores por los costos de LLM. Más de 40 organizaciones de Bitcoin y activos digitales también han solicitado a los principales laboratorios de IA que den acceso controlado a modelos de frontera a defensores de código abierto verificados.

Como informó crypto.news, la coalición de la industria advirtió que los desarrolladores de Bitcoin podrían quedarse atrás de los atacantes sin acceso a modelos avanzados de IA. La solicitud no busca acceso sin restricciones. Propone investigadores verificados, entornos seguros, suficiente capacidad de cómputo y canales de comunicación directos con los equipos de seguridad de IA.

La próxima fase probablemente se moverá más lentamente que la barrida inicial. El descubrimiento automatizado puede escalar rápidamente, mientras que la reproducción, la divulgación responsable, el desarrollo de parches y las pruebas de regresión requieren más tiempo. Los proyectos que reciben informes deben determinar qué hallazgos son explotables, cuán urgentemente los usuarios necesitan actualizaciones y cuándo los detalles técnicos pueden hacerse públicos de manera segura.

Para los usuarios de Bitcoin, la conclusión es más estrecha de lo que sugieren los números más grandes. El equipo rojo ha informado de un gran volumen de debilidades potenciales en el software relacionado con Bitcoin, no evidencia de que el protocolo de consenso base de Bitcoin haya fallado. La preocupación inmediata de seguridad se centra en billeteras, infraestructura Lightning, software de pago y bibliotecas que contienen código más antiguo o revisado ligeramente.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.