बिटकॉइन रेड टीम ने 108 घंटे के काम के बाद अपनी नवीनतम विस्तृत गणना में 7,958 निष्कर्ष दर्ज करते हुए, 501 बिटकॉइन-संबंधित ओपन-सोर्स परियोजनाओं तक अपनी एआई-सहायता प्राप्त सुरक्षा समीक्षा का विस्तार किया है। 

कैल (Calle), इस प्रयास में शामिल एक छद्मनाम बिटकॉइन डेवलपर, ने 13 अगस्त को कहा कि टीम ने अब लगभग पूरे बिटकॉइन ओपन-सोर्स पारिस्थितिकी तंत्र का एक बुनियादी स्कैन पूरा कर लिया है और कमजोरियों की सतह, जिन्हें ढूंढना आसान है, उनमें से अधिकांश की पहले ही जांच की जा चुकी है।

मुख्य संख्याओं के लिए एक महत्वपूर्ण भेद की आवश्यकता है। 7,958 निष्कर्ष 7,958 पुष्ट, शोषण योग्य कमजोरियों का प्रतिनिधित्व नहीं करते हैं। टीम ने 1,280 को उच्च या गंभीर के रूप में वर्गीकृत किया, जबकि सभी निष्कर्षों में से 24.7% को गतिशील रूप से पुनरुत्पादित किया गया था और 29.4% को 108-घंटे के निशान पर अपस्ट्रीम रिपोर्ट किया गया था। रखरखावकर्ता समीक्षा और मानवीय पुनरुत्पादन सत्यापन प्रक्रिया का हिस्सा बने हुए हैं।

Kimi K3 एक सुरक्षा बल गुणक बन गया है

कैल ने कहा कि मूनशॉट एआई के Kimi K3 के साथ दो सप्ताह के काम से पता चला कि आधुनिक मॉडल वर्षों के संचित ओपन-सोर्स कोड की कितनी तेज़ी से जांच कर सकते हैं। उन्होंने स्थिति को पुराने सॉफ्टवेयर और फ्रंटियर एआई के बीच एक "बड़े टकराव" के रूप में वर्णित किया, और जोड़ा "सब कुछ टूट गया है, बिटकॉइन जल रहा है।" यह शब्दांकन उनका चरित्र-चित्रण है और इसे इस बात के सबूत के रूप में नहीं पढ़ा जाना चाहिए कि बिटकॉइन कोर या हर बिटकॉइन परियोजना में सेंध लगाई गई है।

स्वतंत्र परीक्षण इस संकीर्ण बिंदु का समर्थन करता है कि Kimi K3 में सार्थक साइबर सुरक्षा क्षमता है। एक संयुक्त यू.के. एआई सिक्योरिटी इंस्टीट्यूट और यू.एस. CAISI मूल्यांकन में पाया गया कि मॉडल ने एक्सप्लॉइट-डेवलपमेंट परीक्षण पर GLM-5.2 को पीछे छोड़ दिया, लेकिन सबसे मजबूत यू.एस. बंद मॉडल से पीछे रहा। Kimi K3 ने ExploitBench पर 32% स्कोर किया और उस परीक्षण में 41 नमूनों में से शून्य पर मनमाना कोड निष्पादन (arbitrary code execution) तक पहुंचा।

बिटकॉइन रेड टीम के पहले के सर्वेक्षण में 390 बिटकॉइन परियोजनाओं में 4,962 संभावित मुद्दे पाए गए थे, जिनमें से 720 को तब उच्च या गंभीर के रूप में वर्गीकृत किया गया था। नई गणना से पता चलता है कि पहली लहर के बाद समीक्षा में काफी विस्तार हुआ है।

रखरखावकर्ता पहले से ही निष्कर्षों का सत्यापन और पैच कर रहे हैं

यह अभियान स्वचालित स्कैनिंग से आगे बढ़ गया है। BTCPay सर्वर के आधिकारिक गिटहब (GitHub) रिलीज ने बिटकॉइन रेड टीम के शोधकर्ताओं ब्रूनो गार्सिया और बेन कारमैन को एक महत्वपूर्ण भेद्यता की रिपोर्ट करने का श्रेय दिया, जिसका पहले से ही फायदा उठाया जा रहा था। संस्करण 2.4.2 ने Greenfield Basic Authentication को प्रभावित करने वाले एक दो-कारक प्रमाणीकरण बाईपास (two-factor authentication bypass) को ठीक किया।

BTCPay ने बाद में पुष्टि की कि हमलावरों ने प्रभावित इंस्टॉलेशन से LND एडमिन मैकरून क्रेडेंशियल (LND admin macaroon credentials) प्राप्त कर लिए थे और उनका उपयोग कनेक्टेड लाइटनिंग वॉलेट तक पहुंचने के लिए किया था। परियोजना ने कहा कि वह बिटकॉइन रेड टीम, प्रोजेक्ट लूप (Project Loupe), मैजिक ग्रांट्स (Magic Grants) और स्वतंत्र शोधकर्ताओं से अतिरिक्त रिपोर्टों को संसाधित कर रही थी, जबकि अपनी स्कैनिंग और समीक्षा प्रक्रियाओं को मजबूत कर रही थी।

14 अगस्त को, BTCPay ने एक और सुरक्षा-केंद्रित रिलीज कैंडिडेट, v2.4.3-rc4 की घोषणा की, जिसमें उन समूहों द्वारा रिपोर्ट की गई कमजोरियों को संबोधित किया गया था। संबंधित कवरेज में, BTCPay समर्थकों ने पहले के शोषण के बाद एक रिकवरी बाउंट का समर्थन किया और फाउंडेशन ने बिटकॉइन रेड टीम फंड में 0.21 BTC का वादा किया।

ये फिक्स इस बात का ठोस सबूत देते हैं कि रखरखावकर्ता कम से कम कुछ गंभीर रेड टीम रिपोर्टों को मान्य कर रहे हैं। वे 7,958-निष्कर्ष वाले डेटासेट में हर आइटम को मान्य नहीं करते हैं। एआई-सहायता प्राप्त ऑडिट गलत सकारात्मक (false positives), डुप्लिकेट रिपोर्ट और गंभीरता मूल्यांकन उत्पन्न कर सकते हैं जो मैन्युअल जांच के बाद बदलते हैं, जिससे संख्याओं की व्याख्या के लिए सत्यापन केंद्रीय हो जाता है।

बिटकॉइन परियोजनाओं को एक तेज़ सुरक्षा चक्र का सामना करना पड़ता है

कैल ने तर्क दिया कि जिन परियोजनाओं का रखरखाव नहीं किया जाता है, उन्हें अब अधिक सावधानी के साथ व्यवहार किया जाना चाहिए क्योंकि एआई ने कमजोरियों को खोजने और उनका परीक्षण करने की लागत को तेज़ी से कम कर दिया है। उन्होंने यह भी कहा कि प्रतिक्रिया समय परियोजना के स्वास्थ्य का एक उपयोगी संकेतक बन रहा है और रखरखावकर्ताओं को कभी-कभी बाहरी समीक्षाओं के बजाय अपनी निरंतर एआई ऑडिट पाइपलाइन की आवश्यकता होगी। ये अभियान से कैल के निष्कर्ष हैं, न कि सार्वभौमिक सुरक्षा नियम।

व्यापक पारिस्थितिकी तंत्र पहले ही उस दिशा में आगे बढ़ रहा है। OpenSats ने एक फास्ट-ट्रैक रेड-टीमींग ग्रांट रूट बनाया है जो आंशिक रूप से शोधकर्ताओं को LLM लागतों की प्रतिपूर्ति पर केंद्रित है। 40 से अधिक बिटकॉइन और डिजिटल-एसेट संगठनों ने भी अग्रणी एआई प्रयोगशालाओं से सत्यापित ओपन-सोर्स डिफेंडर को फ्रंटियर मॉडल तक नियंत्रित पहुंच प्रदान करने के लिए कहा है।

जैसा कि crypto.news ने रिपोर्ट किया, उद्योग गठबंधन ने चेतावनी दी कि उन्नत एआई मॉडल तक पहुंच के बिना बिटकॉइन डेवलपर हमलावरों से पीछे रह सकते हैं। यह अनुरोध अप्रतिबंधित पहुंच की तलाश नहीं करता है। यह सत्यापित शोधकर्ताओं, सुरक्षित वातावरण, पर्याप्त कंप्यूट (compute) और एआई सुरक्षा टीमों के साथ सीधे संचार चैनलों का प्रस्ताव करता है।

अगला चरण प्रारंभिक सर्वेक्षण की तुलना में अधिक धीरे-धीरे बढ़ने की संभावना है। स्वचालित खोज तेज़ी से बढ़ सकती है, जबकि पुनरुत्पादन, जिम्मेदार प्रकटीकरण, पैच विकास और रिग्रेशन परीक्षण में अधिक समय लगता है। रिपोर्ट प्राप्त करने वाली परियोजनाओं को यह निर्धारित करना होगा कि कौन से निष्कर्ष शोषण योग्य हैं, उपयोगकर्ताओं को कितनी तेज़ी से अपडेट की आवश्यकता है और तकनीकी विवरण कब सुरक्षित रूप से सार्वजनिक हो सकते हैं।

बिटकॉइन उपयोगकर्ताओं के लिए, निष्कर्ष सबसे बड़ी संख्याओं से संकीर्ण है। रेड टीम ने बिटकॉइन-संबंधित सॉफ्टवेयर में संभावित कमजोरियों की एक बड़ी मात्रा की रिपोर्ट की है, न कि इस बात का सबूत कि बिटकॉइन का आधार सहमति प्रोटोकॉल विफल हो गया है। तत्काल सुरक्षा चिंता वॉलेट, लाइटनिंग इंफ्रास्ट्रक्चर, भुगतान सॉफ्टवेयर और पुराने या हल्के ढंग से समीक्षा किए गए कोड वाली लाइब्रेरी पर केंद्रित है।