ИИ-аудит безопасности Bitcoin выявил 4962 находки в 390 проектах

Волонтёрская группа Bitcoin Red Team направила ИИ-агентов на кодовые базы биткоин-проектов и за 27,5 часов проверила 390 репозиториев, подав в общей сложности 4962 находки — из них 85 отмечены как критические и 635 как высокой серьёзности. Толчком к спринту стал взлом аппаратных кошельков Coldcard.

В спринте участвовали 16 разработчиков, а расходы на вычисления составили порядка $10 000 в день — в среднем это одна критическая находка в час на человека. Большинство критических отчётов проектные команды уже быстро проверили: перед тем как передавать находку владельцам, группа готовила рабочий proof-of-concept, подтверждающий, что уязвимость реальна, а не ложное срабатывание модели. Толчком к самому спринту послужил взлом аппаратных кошельков Coldcard: волны хищений начались 30 июля и вывели из кошельков до $114 млн через баг, спавший в коде с 2021 года и не требовавший физического доступа к устройству, если атакующий уже вычислил уязвимое пространство ключей.

“Ситуация крайне плохая. Сейчас в экосистеме царит настоящий хаос.”

— Calle, участник Bitcoin Red Team

• 390 проектов проверено за 27,5 часов, 4962 находки, из них 85 критических и 635 высокой серьёзности
• 16 разработчиков, расходы на вычисления — около $10 000 в день
• Толчком стал взлом Coldcard: волны хищений с 30 июля вывели до $114 млн через баг, спавший с 2021 года

Мы уже подробно следили за самим взломом Coldcard: писали, как четвёртая волна атаки довела ущерб почти до $114 млн, и собирали недельный дайджест по безопасности криптоиндустрии. Нынешний ИИ-спринт показывает и обратную сторону взлома: разовый инцидент стал катализатором для системной проверки всей открытой инфраструктуры Bitcoin — то есть отрасль реагирует не только точечным патчем, но и превентивным поиском похожих проблем ещё до того, как ими воспользуются.

Ничего из вышеперечисленного не стоит воспринимать как персональную инвестиционную рекомендацию.