Bitcoin Red Team виявив 7,958 проблем після сканування Kimi K3

Bitcoin Red Team розширив свій огляд безпеки з використанням штучного інтелекту на 501 проект, пов'язаний з Bitcoin, зафіксувавши 7,958 знахідок у своєму останньому детальному підрахунку після 108 годин роботи.

Summary

• Bitcoin Red Team просканував 501 проект і зафіксував 7,958 знахідок після 108 годин оглядів.
• Дослідники класифікували 1,280 знахідок як високі або критичні, але багато з них все ще потребують людської перевірки на сьогодні.
• Приблизно 24.7% знахідок мали відтворювані докази, тоді як 29.4% були повідомлені вгору до підтримувачів проекту.
• Kimi K3 став основним інструментом штучного інтелекту кампанії, оскільки дослідники широко тестували програмне забезпечення з відкритим кодом Bitcoin.
• BTCPay Server випустив виправлення після того, як Bitcoin Red Team та незалежні дослідники нещодавно повідомили про вразливості безпеки.

Calle, псевдонім розробника Bitcoin, залученого до зусиль, заявив 13 серпня, що команда тепер завершила базове сканування майже всього екосистеми Bitcoin з відкритим кодом і що більша частина легкодоступної вразливості вже була перевірена.

Головні цифри вимагають важливого розрізнення. 7,958 знахідок не представляють 7,958 підтверджених експлуатованих вразливостей. Команда класифікувала 1,280 як високі або критичні, тоді як 24.7% усіх знахідок були динамічно відтворені, а 29.4% були повідомлені вгору на 108-й годині. Огляд підтримувачів і людське відтворення залишаються частиною процесу перевірки.

Kimi K3 став множником безпеки
Calle зазначив, що двотижнева робота з Kimi K3 від Moonshot AI показала, як швидко сучасні моделі можуть перевіряти роки накопиченого коду з відкритим кодом. Він описав ситуацію як "масштабну колізію" між старим програмним забезпеченням та передовим штучним інтелектом, додавши: "все зламано, bitcoin горить". Це формулювання є його характеристикою і не повинно сприйматися як доказ того, що Bitcoin Core або кожен проект Bitcoin скомпрометований.

Незалежне тестування підтримує більш вузьку точку зору, що Kimi K3 має значні можливості в кібербезпеці. Спільна оцінка Інституту безпеки штучного інтелекту Великобританії та CAISI США виявила, що модель перевершила GLM-5.2 у тестуванні на розробку експлойтів, але залишалася позаду найсильніших закритих моделей США. Kimi K3 отримав 32% на ExploitBench і досяг арбітражного виконання коду на жодному з 41 зразків у цьому тесті.

Раніше огляд Bitcoin Red Team виявив 4,962 потенційних проблеми в 390 проектах Bitcoin, включаючи 720, які тоді були класифіковані як високі або критичні. Нові дані показують, що огляд суттєво розширився після першої хвилі.

Підтримувачі вже перевіряють і виправляють знахідки
Кампанія перейшла за межі автоматизованого сканування. Офіційний реліз BTCPay Server на GitHub відзначив дослідників Bitcoin Red Team Бруно Гарсія та Бена Кармана за повідомлення про критичну вразливість, яка вже експлуатувалася. Версія 2.4.2 виправила обхід двофакторної аутентифікації, що впливав на Greenfield Basic Authentication.

BTCPay пізніше підтвердив, що зловмисники отримали облікові дані адміністратора LND з уражених установок і використали їх для доступу до підключених гаманців Lightning. Проект заявив, що обробляє додаткові звіти від Bitcoin Red Team, Project Loupe, Magic Grants та незалежних дослідників, одночасно зміцнюючи свої процеси сканування та огляду.

14 серпня BTCPay оголосив про ще один реліз-кандидат, зосереджений на безпеці, v2.4.3-rc4, що вирішує вразливості, про які повідомили ці групи. У пов'язаному висвітленні, прихильники BTCPay підтримали винагороду за відновлення після попередньої експлуатації, а фонд пообіцяв 0.21 BTC на фонд Bitcoin Red Team.

Ці виправлення надають конкретні докази того, що підтримувачі перевіряють принаймні деякі серйозні звіти Red Team. Вони не підтверджують кожен пункт у наборі даних з 7,958 знахідок. Аудити з використанням штучного інтелекту можуть давати хибнопозитивні результати, дублювати звіти та оцінки серйозності, які змінюються після ручного розслідування, що робить перевірку центральною для інтерпретації цифр.

Проекти Bitcoin стикаються з більш швидким циклом безпеки
Calle стверджував, що проекти без підтримки тепер слід розглядати з більшою обережністю, оскільки штучний інтелект різко знизив вартість виявлення та тестування слабкостей. Він також зазначив, що час реагування стає корисним показником здоров'я проекту і що підтримувачі все більше потребуватимуть своїх власних постійних аудиторських каналів штучного інтелекту, а не випадкових зовнішніх оглядів. Це висновки Calle з кампанії, а не універсальні правила безпеки.

Ширша екосистема вже рухається в цьому напрямку. OpenSats створив прискорений грантовий маршрут для червоного командування, частково зосереджений на відшкодуванні дослідникам витрат на LLM. Більше 40 організацій Bitcoin та цифрових активів також попросили провідні лабораторії штучного інтелекту надати перевіреним захисникам з відкритим кодом контрольований доступ до передових моделей.

Як повідомляло crypto.news, галузева коаліція попередила, що розробники Bitcoin можуть відстати від атакуючих без доступу до передових моделей штучного інтелекту. Запит не передбачає необмеженого доступу. Він пропонує перевіреним дослідникам, безпечним середовищам, достатнім обчислювальним ресурсам та прямим каналам зв'язку з командами безпеки штучного інтелекту.

Наступна фаза, ймовірно, буде рухатися повільніше, ніж початковий огляд. Автоматизоване виявлення може швидко масштабуватися, тоді як відтворення, відповідальне розкриття, розробка виправлень та регресійне тестування потребують більше часу. Проекти, які отримують звіти, повинні визначити, які знахідки є експлуатованими, наскільки терміново користувачам потрібні оновлення та коли технічні деталі можуть безпечно стати публічними.

Для користувачів Bitcoin висновок є більш вузьким, ніж найбільші цифри вказують. Red Team повідомив про велику кількість потенційних слабкостей у програмному забезпеченні, пов'язаному з Bitcoin, а не про докази того, що базовий консенсус-протокол Bitcoin зазнав невдачі. Негайна проблема безпеки зосереджена на гаманцях, інфраструктурі Lightning, програмному забезпеченні для платежів та бібліотеках, що містять старий або слабо перевірений код.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.