Bitcoin Magazine
Zespół Bitcoin Red znalazł 85 krytycznych błędów w 390 repozytoriach open source po exploicie Coldcard
W obliczu niedawnej, katastrofalnej luki w sprzętowych portfelach Coldcard, wykorzystanej na kwotę ponad 100 milionów dolarów, społeczność Bitcoin zjednoczyła się, aby zapobiec przyszłym krytycznym błędom w oprogramowaniu open source w branży.
PSA: Użytkownicy portfeli Coldcard, którzy nie przenieśli swojego bitcoina na nowe nasiona wygenerowane w bezpiecznym oprogramowaniu, wciąż są narażeni na ryzyko. Może nie jest za późno, aby działać; zobacz zalecenie w tej sprawie.
Pod przewodnictwem Calle, inżyniera oprogramowania, zapalonego programisty i twórcy wersji Android Bitchat, oraz Roba Hamiltona, CEO Anchorwatch, firmy ubezpieczeniowej zajmującej się samodzielnym przechowywaniem bitcoina, zespół Bitcoin Red zabezpieczył teraz finansowanie, wydając ponad 40 000 dolarów w tokenach AI na audyt ponad 390 repozytoriów open source w Bitcoin.
Potocznie nazywany „Zespołem Bitcoin Red”, z memami o Robie Hamiltonie i Calle, którzy teraz są CEO i CTO Bitcoina, ten audyt bezpieczeństwa napędzany AI ma poważny wpływ na branżę. Zaledwie kilka dni temu, pogrzebany w wiadomościach o trwających kradzieżach bitcoina z MK3+ Coldcard z powodu błędu RNG, giełda Boltz ogłosiła, że wstrzyma działalność, aby nadrobić zaległości związane z próbami hackingu napędzanymi AI.
„Po 27,5 godzinach złożyliśmy 4 962 ustalenia w 390 projektach. 85 krytycznych i 635 poważnych problemów. Mamy 2,31 ustaleń h+c na osobę na godzinę,” powiedział Calle w najnowszej aktualizacji dotyczącej wysiłków Red Team w celu wzmocnienia cyberbezpieczeństwa w branży.
Wysiłek przeglądu bezpieczeństwa Red Team korzysta z modeli takich jak Kimi K3, GPT Sol, Fable, Opus i GLM5.2, które są jednymi z najdroższych i najnowocześniejszych modeli na rynku. Na początku dostęp do modeli OpenAI i Anthropic był ograniczony, co prowadziło do nadmiernego polegania na chińskich modelach open-source, co wielu w branży ubolewało i postrzegało jako zły omen dla dominacji USA w dziedzinie AI. Jednak w miarę jak projekt Red Team zyskiwał na wpływie od zeszłotygodniowego hacku Coldcard, nawiązano i potwierdzono połączenia z OpenAI, co dało Red Team dostęp do GPT Sol. Wzmianka Hamiltona o Fable w jego tweecie z 4 sierpnia sugeruje, że dostęp do Anthropic również został nawiązany.
Wydatki, które ostatnio oszacowano na ponad 40 000 dolarów, zostały pokryte przez OpenSats, organizację non-profit 501c3, która jest poświęcona finansowaniu projektów rozwoju open source Bitcoin. Zespół Bitcoin Red Team obecnie nie ma strony internetowej ani repozytorium GitHub, do którego można by się odwołać, ale zespół składa się z wielu osób z branży Bitcoin. Osoby publicznie podziękowane za wsparcie to między innymi danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.
Hamilton podzielił się, że zbudowano niestandardowy system i szybko się rozwija. Składający się w pewnym momencie z 171,599 linii kodu, system jest zaprojektowany do identyfikacji i testowania krytycznych bibliotek oprogramowania Bitcoin oraz kodu o dużym obciążeniu, identyfikowania i dokumentowania luk, reprodukowania ich oraz pakowania zweryfikowanych danych w użyteczne raporty. Ostatecznie dostarczając informacje odpowiedzialnie inżynierom w branży. Hamilton również podzielił się, że Red Team zamierza udostępnić system jako open source, aby firmy zajmujące się Bitcoinem mogły go uruchomić przeciwko swojemu zamkniętemu kodowi.
Red Team aktywnie kontaktuje się z odpowiednimi projektami open source, w których odkryto krytyczne luki, co prowadzi do szerokiego poczucia niepokoju wśród inżynierów w branży, gdy otrzymują zimne wiadomości bezpośrednie od Hamiltona lub Calle, co widać w różnych humorystycznych zrzutach ekranu udostępnionych w mediach społecznościowych.
Wśród kluczowych spostrzeżeń, które Red Team publicznie dzieli w trakcie tej aktualizacji bezpieczeństwa Bitcoin FOSS napędzanej AI, Hamilton podzielił się, że inżynierowie z określoną wiedzą specjalistyczną mogą czasami przynieść wysokowartościowe wyniki z systemu, które w przeciwnym razie „wyczują, że coś jest nie tak”, ale mogą nie mieć kontekstu niszowego. Spostrzeżenie to podkreśla znaczenie współpracy ludzkiej inteligencji i doświadczenia z AI w efektywnym identyfikowaniu krytycznych luk.
Hamilton zakończył również wielodniowy wysiłek Red Team po ataku na Coldcard, dodając kilka osobistych uwag. Powiedział, że odkryta podatność w generatorach liczb losowych Coldcard i konsekwentne wykorzystanie błędu przez hakerów było „duchowym atakiem” na Bitcoin i etos samodzielnego przechowywania w branży, „mam na myśli to w dosłownym sensie tych słów”. Po wyrażeniu żalu z powodu strat doświadczonych przez wielu Bitcoiners podczas tego teraz historycznego ataku, Hamilton zakończył swojego tweeta tonem twardej determinacji:
„Chociaż teraz nie jest łatwo. Mam najwyższą pewność w moim życiu, że idea i technologia Bitcoina są warte walki. W tym celu. Nie ma Bitcoina bez samodzielnego przechowywania. To jest niepodlegające negocjacjom.”
Ten post Bitcoin Red Team Finds 85 Critical Flaws Across 390 Open Source Repos After Coldcard Exploit po raz pierwszy pojawił się w Bitcoin Magazine i jest napisany przez Juana Galta.
Źródło: BitcoinMagazine
