Скоординована кампанія з безпеки Bitcoin виявила майже 5 000 програмних проблем у сотнях проектів із відкритим вихідним кодом приблизно за 30 годин. Зусилля поєднало експертизу людей та інструменти штучного інтелекту для виявлення програмних вразливостей.

Ініціатива об'єднала 16 дослідників безпеки під керівництвом розробника Calle за підтримки OpenSats, OpenCode та спонсорів AI-інференсу. Група спільно провела скоординований аудит сотень Bitcoin-проектів.

Розбір результатів

За даними команди, дослідники зафіксували 4 962 знахідки в 390 Bitcoin-пов'язаних проектах у ході кампанії. До загальної кількості увійшли 85 критичних і 635 високосерйозних знахідок, що в сумі дає 720 найбільш значущих звітів.

Кампанія підтримувала високий темп — у середньому близько 166 зафіксованих знахідок кожну годину протягом усього аудиту. За опублікованими даними, команда виявляла приблизно 2,3 критичних або високосерйозних проблеми на кожну людино-годину роботи.

Дослідники відзначили, що кампанія відрізнялася від традиційного аудиту безпеки, оскільки під час тестування люди активно спрямовували роботу AI-систем. Кожен учасник використовував різні промпти й методи, що допомагало виявляти вразливості, які єдиний підхід міг би пропустити.

До підсумкового рахунку також увійшли знахідки, зібрані одним учасником до офіційного початку живої кампанії. Після їх додавання крипто-бібліотеки та SDK зафіксували найбільшу частку проблем — 1 385 звітів.

Що показали знахідки

Команда вказала, що приблизно кожна сьома із зафіксованих знахідок належить до категорій високої або критичної серйозності. Лише один перевірений проект завершив кампанію без жодного зафіксованого порушення, що викликало жартівливий коментар розробника Bitcoin Core Метта Кораллу.

Дослідники вже почали надсилати підтверджені критичні знахідки мейнтейнерам уражених проектів із підтверджуючими демонстраціями proof-of-concept. Багато мейнтейнерів, за наявними даними, швидко підтвердили звіти, хоча обробка такого великого обсягу залишається серйозним завданням.

Кампанія проводиться в момент, коли безпека Bitcoin-програмного забезпечення привертає дедалі більшу увагу в екосистемі після кількох нещодавніх інцидентів. Окремо: Bitcoin зафіксував близько 0,98 млн щоденних активних адрес 31 липня — найвищий рівень із грудня 2024 року. Сплеск стався після атак на гаманці, сіди яких були згенеровані за допомогою дефектної прошивки Coldcard.

Джерело: CryptoPotato