Bitcoin Red Team: kritikus biztonsági hiányosságok az open-source ökoszisztémában

A Bitcoin Red Team fejlesztőkből és biztonsági kutatókból álló csapata átfogó biztonsági auditot hajtott végre a Bitcoin-ökoszisztéma projektjein. Augusztus eleje óta 390 projektben 4962 potenciális sebezhetőséget azonosított, amelyből 85-öt kritikusnak és 635-öt súlyosnak minősítettek. A gyanús találatokat először emberek ellenőrzik, majd a fejlesztőknek jelentik.

A vizsgálat során a csapat egyre inkább kínai mesterséges intelligencia modellekre támaszkodik. Különösen a Moonshot AI Kimi K3 modelljét használja, amely lokálisan futtatható és nagy kódmennyiségek elemzésére képes. A csapat mellett a Z.ai GLM 5.2 modelljét, valamint az OpenAI és az Anthropic megoldásait is alkalmazza.

A csapat vezetője, Calle szerint az amerikai AI-modellek használatát korlátozások akadályozzák. Az OpenAI biztonsági korlátozásai miatt a Red Team a kínai Kimi K3-ra váltott, amely nagyobb szabadságot biztosít a kutatáshoz. Calle szerint »massív összeütközés« zajlik »évtizedes open-source problémák« és »két hét Kimi K3« között, és »minden összetört, Bitcoin ég».

A fejlesztő szerint számos valódi kritikus és súlyos sebezhetőséget már megerősíttek a felelős fejlesztők, bár az érintett projektek még nem ismertesek. Calle kiemelte, hogy a Lightning-szoftver vizsgálata különösen nehéz, összetettségük miatt »az átlagnál rosszabb állapotban« vannak. A csapat szerint a Bitcoin-projekteknek rendszeres AI-alapú auditok végzésére kellene felkészülniük, és ez a tendencia a jövőben az egész szoftveriparra kiterjed.

A csapat az eredményeket fokozatosan közli a fejlesztőkkel, a megerősített biztonsági rések technikai részleteit azonban nem teszi nyilvánossá.