Wolontariusze deweloperzy zgłosili 4 962 problemy bezpieczeństwa w 390 projektach Bitcoin w ciągu około 30 godzin. Spośród 391 baz kodu, dokładnie jedna wróciła czysta.
Grupa nazywa się Bitcoin Red Team. Ocenili 720 z tych zgłoszeń jako wysokie lub krytyczne. Tylko 147 dotarło do utrzymujących, którzy muszą je naprawić.
Co siódme zgłoszenie jest poważne
Podział na powagę jest węższy niż sugeruje surowa liczba. Recenzenci zarejestrowali 85 krytycznych problemów i 635 wysokich.
To stanowi 14,5% wszystkich zgłoszeń. Reszta znajduje się w kategoriach średnich, niskich lub informacyjnych. Kolejne 246 zgłoszeń nie ma w ogóle etykiety powagi.
Jakość dowodów również się różni. Około 21,4% miało działający kod dowodu koncepcji. Około 91% dotarło przez automatyczne skanowanie. Recenzenci uznali tylko osiem za fałszywe alarmy.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Jedna godzina wygenerowała 83% zgłoszeń
30-godzinne ramy wymagają zastrzeżenia. Jedna godzina pochłonęła 4 101 zgłoszeń. Ten skok był uzupełnieniem, a nie skanowaniem na żywo. Rob Hamilton, dyrektor generalny ubezpieczyciela Bitcoin AnchorWatch, przeprowadził własną recenzję przed formalnym rozpoczęciem kampanii.
Powiedział, że wydał ponad 10 000 dolarów na skanowanie ponad 100 bibliotek.
Usuwając ten skok, tempo zmienia się drastycznie. Około 840 zgłoszeń otrzymano w ciągu pozostałych 29 godzin. To bliżej 29 na godzinę niż 166,3, które raport reklamuje.
Dane wskazują na portfele sprzętowe
Podział kategorii przynosi niespodziankę. Portfele sprzętowe i oprogramowanie, do grupy której należy Coldcard, zajęły drugie miejsce od końca pod względem poważnych wad z wynikiem 9,6%.
Inne obszary wypadły gorzej. Puli wydobywcze osiągnęły 21,7%, infrastruktura i narzędzia 21,5%, a wymiany i swap 20,9%. Narzędzia prywatności zajęły pierwsze miejsce z wynikiem 24%, chociaż recenzenci omówili tylko trzy z nich.
Zamiast tego, biblioteki kryptograficzne miały największą liczbę. Wytworzyły 1 385 ustaleń w 128 projektach, co stanowiło ponad ćwierć całego zbioru.
Calle, pseudonimowany fizyk, który stworzył protokół Cashu ecash, powiedział, że osoby odpowiedzialne potwierdzają najgorsze raporty.
Większość krytycznych raportów, które do tej pory sporządziliśmy, została szybko zweryfikowana przez właścicieli projektów. Wiemy, że trafiamy w prawdziwe cele,” napisali.
Dlaczego powstał Zespół Czerwony po Coldcard
Akcja rozpoczęła się z powodu jednego uszkodzonego chipu. Coinkite ujawniło 30 lipca, że generacja kluczy na dotkniętych urządzeniach Coldcard wróciła do przewidywalnej rutyny oprogramowania.
Niedobór był poważny. Tylko 32 bity pochodziły z elementu zabezpieczającego, ograniczając poszukiwania atakującego do około 4,3 miliarda prób.
Galaxy Research oszacowało potwierdzone kradzieże na 1 596 Bitcoinów (BTC) z około 7 300 adresów 4 sierpnia. Podejrzewana czwarta fala ataków mogłaby zwiększyć całkowitą kwotę do prawie 130 milionów dolarów. Galaxy podkreśla, że ich lista adresów nie jest ostateczna.
Panika pojawiła się w łańcuchu, gdzie aktywne adresy wzrosły do najwyższego poziomu od 20 miesięcy. Koreańscy posiadacze w dużej mierze uniknęli problemów, ponieważ nasiona oparte na kościach są tam powszechne.
Słaba losowość wciąż powraca w Bitcoinie. Błąd Milk Sad z 2023 roku zasiał klucze Libbitcoin Explorer z 32 bitów czasu zegarowego. W maju luka Ill Bloom wyczerpała 5,7 miliona dolarów z portfeli opartych na słabym generatorze JavaScript.
Finansowanie podąża za odkryciami
OpenSats, organizacja non-profit finansująca rozwój Bitcoina, uruchomiła w czwartek program grantowy Code RED. Płaci badaczom, którzy ujawniają luki. Zwraca również koszty związane z sztuczną inteligencją (AI), które generuje ta praca.
Tymczasem Bitcoin handlowano w czwartek w pobliżu 64 396 dolarów, co oznacza wzrost o 0,5% w ciągu 24 godzin. Audyt nie wpłynął na rynek.
Kontekst wciąż ma znaczenie dla surowej liczby. To są odkrycia, a nie potwierdzone exploity, i większość nigdy nie zostanie wykorzystana jako broń.
Na podstawie dotychczasowych dowodów, Coldcard nie był odosobnioną porażką. Dane sugerują również, że następna nie będzie portfelem sprzętowym.
Źródło: BeInCrypto
