Tim Merah Bitcoin Menandai 7.958 Masalah Setelah Pemindaian Kimi K3

Tim Merah Bitcoin telah memperluas tinjauan keamanan yang dibantu AI ke 501 proyek sumber terbuka terkait Bitcoin, mencatat 7.958 temuan dalam hitungan rinci terbarunya setelah 108 jam kerja.

Ringkasan

• Tim Merah Bitcoin memindai 501 proyek dan mencatat 7.958 temuan setelah 108 jam tinjauan.
• Peneliti mengklasifikasikan 1.280 temuan sebagai tinggi atau kritis, tetapi banyak yang masih memerlukan verifikasi manusia hingga hari ini.
• Sekitar 24,7% dari temuan memiliki bukti yang dapat direproduksi, sementara 29,4% dilaporkan ke pemelihara proyek.
• Kimi K3 menjadi tenaga kerja AI utama kampanye saat peneliti menguji perangkat lunak sumber terbuka Bitcoin secara ekstensif.
• Server BTCPay merilis perbaikan setelah Tim Merah Bitcoin dan peneliti independen melaporkan kerentanan keamanan baru-baru ini.

Calle, seorang pengembang Bitcoin yang menggunakan nama samaran dan terlibat dalam upaya tersebut, mengatakan pada 13 Agustus bahwa tim kini telah menyelesaikan pemindaian dasar hampir seluruh ekosistem sumber terbuka Bitcoin dan bahwa banyak dari permukaan kerentanan yang lebih mudah ditemukan telah diperiksa.

Angka-angka utama memerlukan perbedaan penting. 7.958 temuan tidak mewakili 7.958 kerentanan yang dapat dieksploitasi yang telah dikonfirmasi. Tim mengklasifikasikan 1.280 sebagai tinggi atau kritis, sementara 24,7% dari semua temuan telah direproduksi secara dinamis dan 29,4% telah dilaporkan ke atas pada tanda 108 jam. Tinjauan pemelihara dan reproduksi manusia tetap menjadi bagian dari proses verifikasi.

Kimi K3 telah menjadi pengganda kekuatan keamanan
Calle mengatakan dua minggu bekerja dengan Kimi K3 dari Moonshot AI menunjukkan betapa cepatnya model modern dapat memeriksa bertahun-tahun kode sumber terbuka yang terakumulasi. Dia menggambarkan situasi tersebut sebagai "tabrakan besar" antara perangkat lunak lama dan AI perbatasan, menambahkan "semuanya rusak, bitcoin terbakar." Kata-kata ini adalah karakterisasinya dan tidak boleh dibaca sebagai bukti bahwa Bitcoin Core atau setiap proyek Bitcoin telah dikompromikan.

Pengujian independen mendukung poin yang lebih sempit bahwa Kimi K3 memiliki kemampuan keamanan siber yang berarti. Penilaian bersama antara U.K. AI Security Institute dan U.S. CAISI menemukan bahwa model tersebut mengungguli GLM-5.2 dalam pengujian pengembangan eksploitasi tetapi tetap tertinggal di belakang model tertutup terkuat di AS. Kimi K3 mencetak 32% di ExploitBench dan mencapai eksekusi kode sewenang-wenang pada nol dari 41 sampel dalam pengujian tersebut.

Penyapuan sebelumnya oleh Tim Merah Bitcoin menemukan 4.962 masalah potensial di 390 proyek Bitcoin, termasuk 720 yang kemudian diklasifikasikan sebagai tinggi atau kritis. Hitungan yang lebih baru menunjukkan bahwa tinjauan diperluas secara material setelah gelombang pertama itu.

Pemelihara sudah memvalidasi dan memperbaiki temuan
Kampanye ini telah bergerak melampaui pemindaian otomatis. Rilis resmi GitHub Server BTCPay mengakui peneliti Tim Merah Bitcoin Bruno Garcia dan Ben Carman yang melaporkan kerentanan kritis yang sudah dieksploitasi. Versi 2.4.2 memperbaiki bypass otentikasi dua faktor yang mempengaruhi Otentikasi Dasar Greenfield.

BTCPay kemudian mengonfirmasi bahwa penyerang telah memperoleh kredensial macaroon admin LND dari instalasi yang terpengaruh dan menggunakannya untuk mengakses dompet Lightning yang terhubung. Proyek tersebut mengatakan sedang memproses laporan tambahan dari Tim Merah Bitcoin, Project Loupe, Magic Grants, dan peneliti independen sambil memperkuat proses pemindaian dan tinjauan mereka.

Pada 14 Agustus, BTCPay mengumumkan kandidat rilis fokus keamanan lainnya, v2.4.3-rc4, yang menangani kerentanan yang dilaporkan oleh kelompok-kelompok tersebut. Dalam liputan terkait, pendukung BTCPay mendukung bounty pemulihan setelah eksploitasi sebelumnya dan yayasan berjanji 0,21 BTC untuk dana Tim Merah Bitcoin.

Perbaikan tersebut memberikan bukti konkret bahwa pemelihara sedang memvalidasi setidaknya beberapa laporan serius dari Tim Merah. Mereka tidak memvalidasi setiap item dalam dataset 7.958 temuan. Audit yang dibantu AI dapat menghasilkan positif palsu, laporan duplikat, dan penilaian tingkat keparahan yang berubah setelah penyelidikan manual, menjadikan verifikasi sebagai hal yang penting untuk menginterpretasikan angka-angka tersebut.

Proyek Bitcoin menghadapi siklus keamanan yang lebih cepat
Calle berpendapat bahwa proyek yang tidak terpelihara sekarang harus diperlakukan dengan lebih hati-hati karena AI telah secara tajam menurunkan biaya untuk menemukan dan menguji kelemahan. Dia juga mengatakan waktu respons menjadi indikator kesehatan proyek yang berguna dan bahwa pemelihara akan semakin membutuhkan saluran audit AI yang berkelanjutan daripada tinjauan eksternal sesekali. Itu adalah kesimpulan Calle dari kampanye tersebut daripada aturan keamanan universal.

Ekosistem yang lebih luas sudah bergerak ke arah itu. OpenSats telah menciptakan jalur hibah tim merah yang dipercepat yang sebagian fokus pada mengganti biaya LLM untuk peneliti. Lebih dari 40 organisasi Bitcoin dan aset digital juga telah meminta laboratorium AI terkemuka untuk memberikan akses terkontrol kepada pembela sumber terbuka yang telah diverifikasi ke model perbatasan.

Seperti yang dilaporkan crypto.news, koalisi industri memperingatkan bahwa pengembang Bitcoin bisa tertinggal dari penyerang tanpa akses ke model AI canggih. Permintaan tersebut tidak mencari akses tanpa batas. Ini mengusulkan peneliti yang telah diverifikasi, lingkungan yang aman, komputasi yang cukup, dan saluran komunikasi langsung dengan tim keamanan AI.

Fase berikutnya kemungkinan akan bergerak lebih lambat daripada penyapuan awal. Penemuan otomatis dapat diskalakan dengan cepat, sementara reproduksi, pengungkapan yang bertanggung jawab, pengembangan tambalan, dan pengujian regresi memerlukan lebih banyak waktu. Proyek yang menerima laporan harus menentukan temuan mana yang dapat dieksploitasi, seberapa mendesak pengguna membutuhkan pembaruan, dan kapan rincian teknis dapat dengan aman dipublikasikan.

Bagi pengguna Bitcoin, kesimpulannya lebih sempit daripada angka terbesar yang disarankan. Tim Merah telah melaporkan volume besar kelemahan potensial di perangkat lunak terkait Bitcoin, bukan bukti bahwa protokol konsensus dasar Bitcoin telah gagal. Kekhawatiran keamanan segera berpusat pada dompet, infrastruktur Lightning, perangkat lunak pembayaran, dan pustaka yang membawa kode lama atau yang sedikit ditinjau.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.