ทีม Red Team บิทคอยน์พบปัญหา 7,958 รายการ หลังสแกนด้วย Kimi K3

บิทคอยน์ Red Team ขยายการตรวจสอบความปลอดภัยด้วยความช่วยเหลือจาก AI ไปยังโครงการโอเพนซอร์สที่เกี่ยวข้องกับบิทคอยน์ 501 โครงการ โดยบันทึกประเด็นที่ตรวจพบ 7,958 รายการในการสรุปผลโดยละเอียดล่าสุด หลังทำงานเป็นเวลา 108 ชั่วโมง

สรุป

• Bitcoin Red Team สแกน 501 โครงการ และบันทึกประเด็นที่ตรวจพบ 7,958 รายการ หลังตรวจสอบเป็นเวลา 108 ชั่วโมง
• นักวิจัยจัดให้ประเด็นที่ตรวจพบ 1,280 รายการอยู่ในระดับสูงหรือวิกฤต แต่หลายรายการยังต้องได้รับการยืนยันโดยมนุษย์ในปัจจุบัน
• ประเด็นที่ตรวจพบประมาณ 24.7% มีหลักฐานที่ทำซ้ำได้ ขณะที่ 29.4% ถูกรายงานไปยังผู้ดูแลโครงการต้นทาง
• Kimi K3 กลายเป็นเครื่องมือ AI หลักของแคมเปญนี้ ขณะที่นักวิจัยทดสอบซอฟต์แวร์โอเพนซอร์สของบิทคอยน์อย่างกว้างขวาง
• BTCPay Server เปิดตัวแพตช์แก้ไข หลัง Bitcoin Red Team และนักวิจัยอิสระรายงานช่องโหว่ด้านความปลอดภัยเมื่อไม่นานมานี้

Calle นักพัฒนาบิทคอยน์ที่ใช้นามแฝงและมีส่วนร่วมในความพยายามนี้ กล่าวว่าเมื่อวันที่ 13 ส.ค. ว่าทีมได้สแกนเบื้องต้นเสร็จสิ้นแล้วในระบบนิเวศโอเพนซอร์สของบิทคอยน์เกือบทั้งหมด และพื้นผิวช่องโหว่จำนวนมากที่ค้นหาได้ง่ายกว่าก็ได้รับการตรวจสอบไปแล้ว

ตัวเลขพาดหัวข่าวจำเป็นต้องแยกแยะให้ชัดเจน ประเด็นที่ตรวจพบ 7,958 รายการไม่ได้หมายความว่าเป็นช่องโหว่ที่ยืนยันแล้วว่าสามารถถูกโจมตีได้ 7,958 รายการ ทีมจัดให้ 1,280 รายการอยู่ในระดับสูงหรือวิกฤต ขณะที่ประเด็นที่ตรวจพบทั้งหมด 24.7% สามารถทำซ้ำแบบไดนามิกได้ และ 29.4% ถูกรายงานไปยังผู้ดูแลโครงการต้นทาง ณ จุด 108 ชั่วโมง การตรวจสอบโดยผู้ดูแลโครงการและการทำซ้ำโดยมนุษย์ยังคงเป็นส่วนหนึ่งของกระบวนการยืนยัน

Kimi K3 กลายเป็นตัวคูณพลังด้านความปลอดภัย
Calle กล่าวว่า การทำงานร่วมกับ Kimi K3 ของ Moonshot AI เป็นเวลาสองสัปดาห์เผยให้เห็นว่าโมเดลสมัยใหม่สามารถตรวจสอบโค้ดโอเพนซอร์สที่สั่งสมมาหลายปีได้รวดเร็วเพียงใด เขาอธิบายสถานการณ์นี้ว่าเป็น "การปะทะกันครั้งใหญ่" ระหว่างซอฟต์แวร์รุ่นเก่ากับ AI ระดับแนวหน้า พร้อมกล่าวว่า "ทุกอย่างพัง บิทคอยน์กำลังลุกไหม้" ถ้อยคำดังกล่าวเป็นการอธิบายสถานการณ์ของเขาเอง และไม่ควรถือเป็นหลักฐานว่า Bitcoin Core หรือโครงการบิทคอยน์ทุกโครงการถูกเจาะระบบ

การทดสอบโดยอิสระสนับสนุนประเด็นที่แคบกว่านั้นว่า Kimi K3 มีความสามารถด้านความปลอดภัยไซเบอร์อย่างมีนัยสำคัญ การประเมินร่วมโดย U.K. AI Security Institute และ CAISI ของสหรัฐฯ พบว่าโมเดลดังกล่าวทำได้ดีกว่า GLM-5.2 ในการทดสอบพัฒนาการโจมตี แต่ยังตามหลังโมเดลแบบปิดที่แข็งแกร่งที่สุดของสหรัฐฯ Kimi K3 ทำคะแนนได้ 32% ใน ExploitBench และสามารถทำให้เกิดการรันโค้ดตามอำเภอใจได้ในตัวอย่าง 0 จาก 41 ตัวอย่างในการทดสอบนั้น

การกวาดตรวจครั้งก่อนของ Bitcoin Red Team พบประเด็นที่อาจเป็นปัญหา 4,962 รายการในโครงการบิทคอยน์ 390 โครงการ ซึ่งรวมถึง 720 รายการที่ถูกจัดอยู่ในระดับสูงหรือวิกฤตในขณะนั้น ตัวเลขสรุปใหม่แสดงให้เห็นว่าการตรวจสอบขยายตัวขึ้นอย่างมากหลังการตรวจระลอกแรก

ผู้ดูแลโครงการเริ่มตรวจสอบและออกแพตช์แก้ไขประเด็นที่พบแล้ว
แคมเปญนี้ก้าวข้ามการสแกนอัตโนมัติไปแล้ว ประกาศเผยแพร่อย่างเป็นทางการบน GitHub ของ BTCPay Server ระบุชื่อ Bruno Garcia และ Ben Carman นักวิจัยจาก Bitcoin Red Team ว่าเป็นผู้รายงานช่องโหว่ระดับวิกฤตที่กำลังถูกใช้โจมตีอยู่แล้ว เวอร์ชัน 2.4.2 แก้ไขช่องโหว่การข้ามการยืนยันตัวตนสองปัจจัยที่ส่งผลกระทบต่อ Greenfield Basic Authentication

ต่อมา BTCPay ยืนยันว่าผู้โจมตีได้รับข้อมูลรับรอง macaroon สำหรับผู้ดูแลระบบ LND จากการติดตั้งที่ได้รับผลกระทบ และใช้ข้อมูลดังกล่าวเพื่อเข้าถึงกระเป๋า Lightning ที่เชื่อมต่ออยู่ โครงการระบุว่ากำลังประมวลผลรายงานเพิ่มเติมจาก Bitcoin Red Team, Project Loupe, Magic Grants และนักวิจัยอิสระ พร้อมเสริมความแข็งแกร่งให้กระบวนการสแกนและตรวจสอบ

เมื่อวันที่ 14 ส.ค. BTCPay ประกาศรุ่นผู้สมัครเผยแพร่ที่เน้นด้านความปลอดภัยอีกรุ่น คือ v2.4.3-rc4 เพื่อแก้ไขช่องโหว่ที่กลุ่มเหล่านั้นรายงาน ในการรายงานข่าวที่เกี่ยวข้อง ผู้สนับสนุน BTCPay สนับสนุนเงินรางวัลสำหรับการกู้คืนหลังเหตุโจมตีก่อนหน้านี้ และมูลนิธิให้คำมั่นว่าจะมอบ 0.21 BTC เข้ากองทุน Bitcoin Red Team

การแก้ไขเหล่านี้เป็นหลักฐานที่ชัดเจนว่าผู้ดูแลโครงการกำลังยืนยันรายงานร้ายแรงจาก Red Team อย่างน้อยบางส่วน แต่ไม่ได้ยืนยันข้อมูลทุกรายการในชุดข้อมูลประเด็นที่ตรวจพบ 7,958 รายการ การตรวจสอบด้วยความช่วยเหลือจาก AI อาจก่อให้เกิดผลบวกลวง รายงานซ้ำ และการประเมินระดับความรุนแรงที่เปลี่ยนแปลงได้หลังการตรวจสอบด้วยตนเอง ทำให้การยืนยันมีความสำคัญต่อการตีความตัวเลข

โครงการบิทคอยน์กำลังเผชิญวงจรความปลอดภัยที่รวดเร็วขึ้น
Calle ให้เหตุผลว่าขณะนี้ควรระมัดระวังโครงการที่ไม่มีผู้ดูแลมากขึ้น เพราะ AI ลดต้นทุนการค้นหาและทดสอบจุดอ่อนลงอย่างมาก เขายังกล่าวด้วยว่าเวลาตอบสนองกำลังกลายเป็นตัวชี้วัดที่มีประโยชน์ต่อสุขภาพของโครงการ และผู้ดูแลจะต้องมีระบบตรวจสอบด้วย AI อย่างต่อเนื่องของตนเองมากขึ้น แทนที่จะพึ่งพาการตรวจสอบจากภายนอกเป็นครั้งคราว ข้อสรุปเหล่านี้เป็นมุมมองของ Calle จากแคมเปญดังกล่าว ไม่ใช่กฎความปลอดภัยที่ใช้ได้กับทุกกรณี

ระบบนิเวศในวงกว้างกำลังเคลื่อนไปในทิศทางนั้นแล้ว OpenSats ได้สร้างช่องทางทุนสำหรับการทำ Red Team แบบเร่งด่วน โดยมุ่งเน้นบางส่วนไปที่การชดเชยค่าใช้จ่าย LLM ให้แก่นักวิจัย นอกจากนี้ องค์กรด้านบิทคอยน์และสินทรัพย์ดิจิทัลมากกว่า 40 แห่งยังได้ขอให้ห้องปฏิบัติการ AI ชั้นนำเปิดให้ผู้พิทักษ์โอเพนซอร์สที่ผ่านการตรวจสอบเข้าถึงโมเดลระดับแนวหน้าได้ภายใต้การควบคุม

ตามที่ crypto.news รายงาน กลุ่มพันธมิตรในอุตสาหกรรมเตือนว่านักพัฒนาบิทคอยน์อาจตามหลังผู้โจมตี หากไม่สามารถเข้าถึงโมเดล AI ขั้นสูงได้ คำขอดังกล่าวไม่ได้เรียกร้องการเข้าถึงแบบไร้ข้อจำกัด แต่เสนอให้มีนักวิจัยที่ผ่านการตรวจสอบ สภาพแวดล้อมที่ปลอดภัย ทรัพยากรคอมพิวต์ที่เพียงพอ และช่องทางการสื่อสารโดยตรงกับทีมความปลอดภัยของ AI

ระยะถัดไปมีแนวโน้มจะดำเนินไปช้ากว่าการกวาดตรวจครั้งแรก การค้นหาโดยอัตโนมัติสามารถขยายขนาดได้อย่างรวดเร็ว ขณะที่การทำซ้ำ การเปิดเผยข้อมูลอย่างมีความรับผิดชอบ การพัฒนาแพตช์ และการทดสอบการถดถอยต้องใช้เวลามากกว่า โครงการที่ได้รับรายงานต้องพิจารณาว่าประเด็นใดสามารถถูกโจมตีได้ ผู้ใช้จำเป็นต้องอัปเดตเร่งด่วนเพียงใด และเมื่อใดจึงจะสามารถเปิดเผยรายละเอียดทางเทคนิคต่อสาธารณะได้อย่างปลอดภัย

สำหรับผู้ใช้บิทคอยน์ ข้อสรุปสำคัญมีขอบเขตแคบกว่าที่ตัวเลขขนาดใหญ่ที่สุดบ่งชี้ Red Team รายงานจุดอ่อนที่อาจเกิดขึ้นจำนวนมากในซอฟต์แวร์ที่เกี่ยวข้องกับบิทคอยน์ ไม่ใช่หลักฐานว่า โปรโตคอล ฉันทามติพื้นฐานของบิทคอยน์ล้มเหลว ความกังวลด้านความปลอดภัยในทันทีอยู่ที่กระเป๋าเงิน โครงสร้างพื้นฐาน Lightning ซอฟต์แวร์ชำระเงิน และไลบรารีที่มีโค้ดเก่าหรือผ่านการตรวจสอบอย่างจำกัด

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ