Sebuah kelompok sukarelawan yang menamakan dirinya Bitcoin Red Team telah mengajukan 4.962 temuan keamanan di 390 proyek Bitcoin dalam waktu sekitar 30 jam, menjalankan apa yang mereka gambarkan sebagai “audit ekosistem skala besar” dengan agen AI melakukan sebagian besar pemindaian.
Pengembang anonim calle, pencipta protokol ecash Bitcoin Cashu, menerbitkan laporan situasi pertama kampanye ini pada hari Rabu. Laporan tersebut menempatkan 85 temuan pada tingkat keparahan kritis dan 635 pada tingkat tinggi, yang bersama-sama membentuk 14,5% dari total temuan dan rata-rata 1,85 masalah serius per proyek, diajukan dengan kecepatan 166 temuan per jam. Dia mengatakan tim telah berkembang menjadi 16 orang yang bekerja tanpa henti; laporan tersebut mencatat 17 kontributor, 14 di antaranya manusia dan tiga otomatis.
Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7
We're running a large-scale ecosystem security audit across bitcoin code bases.
27.5 hours in, we've filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues.
We're at… pic.twitter.com/iRCylprbY1
— calle (@callebtc) August 5, 2026
Sebagian besar pekerjaan masih manual, "membimbing AI," tulis calle, meskipun alat otomatis semakin canggih, dan 91% temuan tiba melalui masukan pemindaian otomatis. Membiarkan setiap orang menggunakan metode tinjauan pilihan mereka "terbukti menjadi strategi paling efektif," katanya, karena kontributor memberikan perintah yang berbeda kepada agen mereka dan menemukan bug yang berbeda. Sekitar 21% temuan telah direproduksi secara dinamis dengan kode proof-of-concept.
Penyebaran tingkat keparahan sangat bervariasi berdasarkan kategori. Alat privasi dan coinjoin menghasilkan proporsi temuan berisiko tinggi atau kritis tertinggi sebesar 24%, diikuti oleh swap dan bursa sebesar 21%, serta alat pembayaran dan pedagang sebesar 17%. Pustaka kriptografi dan SDK menghasilkan volume mentah terbesar dengan 1.101 temuan, namun hanya 10% yang memenuhi standar tinggi.
Hanya 19 proyek, kurang dari 5% dari yang ditinjau, yang temuan-temuannya telah diungkapkan ke hulu sejauh ini, dan calle mengakui bahwa kampanye ini menambah momen sulit bagi para pemelihara.
"Kami sungguh meminta maaf jika laporan kami menambah tekanan pada hari Anda yang sudah penuh tekanan," tulisnya, sambil berpendapat bahwa temuan-temuan tersebut harus segera dirilis karena pemilik proyek adalah pihak terbaik untuk memvalidasinya, validasi kini hampir gratis dengan AI, dan siapa pun yang menjalankan alat yang sama akan menemukan bug yang sama. Delapan temuan telah ditarik sebagai positif palsu.
Kampanye ini muncul saat asumsi keamanan Bitcoin menjadi sorotan. Dompet Coldcard milik Coinkite menyebabkan kerugian sekitar $130 juta bagi pengguna setelah firmware build Maret 2021 mengambil seed dompet dari fallback perangkat lunak, bukan dari generator angka acak perangkat keras, sehingga kunci privat dapat ditebak. Dalam laporan post-mortem, perusahaan tersebut mencatat kemungkinan bahwa "seseorang menggunakan AI untuk meninjau versi firmware kami sebelumnya."
Chief Technology Officer Ledger, Charles Guillemet, mengatakan kepada Decrypt pada hari Selasa bahwa insiden tersebut menunjukkan AI kini digunakan untuk mengidentifikasi kerentanan dalam kode kripto "dengan kecepatan mesin." Dia menambahkan bahwa "sumber terbuka dan ditinjau bukanlah hal yang sama," mencatat bahwa kelemahan Coldcard telah ada dalam kode publik selama lebih dari lima tahun hingga seorang penyerang dilaporkan menggunakan AI untuk menemukannya. Pertahanan, menurutnya, kini harus bergerak dengan kecepatan yang sama dengan penyerang—seperti yang ditunjukkan oleh kelompok seperti Bitcoin Red Team.
