Стурбована нещодавньою катастрофічною вразливістю в апаратних гаманцях Coldcard, яку хакери використали для викрадення понад $100 млн, спільнота Bitcoin об'єдналася для запобігання критичним помилкам у відкритому програмному забезпеченні галузі.

PSA: Користувачі гаманців Coldcard, які не перенесли свої біткоїни на нові seed-фрази, згенеровані в захищеній прошивці, досі перебувають під загрозою. Ще не пізно вжити заходів; дивіться відповідне попередження.

Під керівництвом Калле — програміста, захопленого vibe-кодера і творця Android-версії Bitchat — та Роба Гамільтона, генерального директора Anchorwatch, компанії зі страхування Bitcoin-самозберігання, Bitcoin Red Team отримала фінансування: вже витрачено понад $40 000 на AI-токени для аудиту понад 390 open-source репозиторіїв в екосистемі Bitcoin.

Цю ініціативу в народі називають «Bitcoin Red Team» — в мережі гуляють меми про те, як Роб Гамільтон і Калле стали генеральним і технічним директорами Bitcoin. Продиктований ШІ аудит безпеки серйозно впливає на всю галузь. Зовсім недавно, серед новин про тривалі крадіжки біткоїнів з гаманців Coldcard MK3+ через баг у генераторі випадкових чисел, біржа Boltz оголосила про призупинення операцій для протидії злламам із застосуванням ШІ.

«За 27,5 годин ми зафіксували 4 962 знахідки в 390 проектах. 85 критичних і 635 проблем високого ступеня серйозності. Ми досягли 2,31 знахідки високого та критичного ступеня на людину на годину», — повідомив Калле в останньому оновленні про роботу Red Team з укріплення кібербезпеки галузі.

Для перевірки безпеки Red Team використовує моделі Kimi K3, GPT Sol, Fable, Opus та GLM5.2 — одні з найдорожчих і найпередовіших на ринку. Спочатку доступ до моделей OpenAI та Anthropic був обмежений, що призвело до надмірної залежності від китайських open-source моделей, що багато хто в галузі сприйняв із жалем як поганий знак для домінування США в ШІ. Але в міру зростання впливу проекту Red Team після минулотижневого зламу Coldcard вдалося встановити і підтвердити зв'язки з OpenAI, відкривши доступ до GPT Sol. Згадка Гамільтоном Fable у твіті від 4 серпня передбачає, що доступ до Anthropic також був встановлений.

Витрати, які востаннє перевищили $40 000, покрила OpenSats — некомерційна організація 501c3, яка займається фінансуванням відкритих проектів з розробки Bitcoin. У Bitcoin Red Team поки немає ні веб-сайту, ні репозиторію на GitHub, однак команда складається з багатьох представників Bitcoin-індустрії. Серед публічно подякованих за підтримку — danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.

Гамільтон поділився, що був створений і швидко розвивається спеціалізований інструментарій (harness). Включаючи на одному з етапів 171 599 рядків коду, він розроблений для пошуку і тестування критичних бібліотек Bitcoin-ПЗ та коду з високим навантаженням, ідентифікації і документування вразливостей, їх відтворення та пакування перевірених даних у корисні звіти. В кінцевому підсумку інформація відповідально передається інженерам галузі. Гамільтон також повідомив, що Red Team має намір відкрити вихідний код інструментарію, щоб Bitcoin-компанії могли запускати його проти свого закритого коду.

Red Team активно зв'язується з відповідними open-source проектами, в яких виявлені критичні вразливості, що викликає у інженерів галузі широко поширене відчуття тривоги щоразу, коли вони отримують несподівані повідомлення від Гамільтона або Калле — як видно з численних кумедних скріншотів у соцмережах.

Серед ключових публічних висновків Red Team Гамільтон зазначив, що інженери зі спеціалізованими знаннями предметної галузі іноді можуть отримувати цінні результати з інструментарію, який інакше «відчує щось не те», але може пропустити нішевий контекст. Це спостереження говорить про важливість спільної роботи людського інтелекту та досвіду з ШІ для ефективного виявлення критичних вразливостей.

Гамільтон також завершив багатоденну роботу Red Team після зламу Coldcard особистими нотатками. Він сказав, що виявлена вразливість у генераторах випадкових чисел Coldcard і подальша експлуатація багу хакерами стала «духовною атакою» на Bitcoin та етос самозберігання в галузі, «і я маю це на увазі в буквальному сенсі слова». Висловивши співчуття до втрат багатьох біткоїнерів під час цього вже тепер історичного зламу, Гамільтон закінчив свій твіт у тоні загартованої рішучості:
«Хоча зараз нелегко. У мене як ніколи в житті найвища переконаність у тому, що ідея і технологія Bitcoin варті того, щоб за них боротися. З цією метою. Немає Bitcoin без самозберігання. Це не підлягає обговоренню.»

Джерело: BitcoinMagazine