Inisiatif keamanan Bitcoin sukarela telah mengidentifikasi 4.962 potensi masalah keamanan di 390 proyek terkait Bitcoin selama 29,8 jam pertama tinjauan kode berbantuan AI, dengan 720 di antaranya diklasifikasikan sebagai tingkat keparahan tinggi atau kritis.
Menurut pengembang Bitcoin Calle, Bitcoin Red Team telah meluncurkan tinjauan keamanan terkoordinasi yang mencakup pustaka Bitcoin, dompet, perangkat lunak infrastruktur, dan proyek sumber terbuka lainnya menyusul serangan dompet Coldcard baru-baru ini.
Upaya sukarela ini melibatkan CEO AnchorWatch Rob Hamilton dan kontributor Bitcoin lainnya yang menggunakan alat bantu AI bersama verifikasi manual untuk mengidentifikasi kerentanan perangkat lunak.
Dalam sebuah postingan di X, Calle mengatakan kelompok tersebut “rata-rata sekitar 1 eksploitasi kritis per jam per orang” dan telah melaporkan kerentanan kritis ke beberapa proyek dalam 12 jam sebelumnya. Dia juga menggambarkan situasi keamanan sebagai “sangat buruk”.
Sumber: X/Calle.
Kampanye ini muncul kurang dari seminggu setelah para penyerang mengeksploitasi cacat yang memengaruhi firmware dompet hardware Coldcard yang rentan, sebuah insiden yang telah mendorong pengembang dan peneliti untuk mengintensifkan tinjauan perangkat lunak Bitcoin.
Menurut data yang dibagikan oleh Calle, inisiatif ini telah menyelesaikan tinjauan otomatis dan manual di 390 repositori, mengidentifikasi 4.962 potensi masalah dalam prosesnya. Dari jumlah tersebut, 720 telah diklasifikasikan sebagai temuan tingkat keparahan tinggi atau kritis.
Tim menambahkan bahwa 21,4% dari masalah yang dilaporkan telah direproduksi, menunjukkan bahwa sebagian dari temuan awal yang dihasilkan AI telah diverifikasi secara independen.
Daripada berfokus pada satu aplikasi, kampanye tinjauan ini mencakup pustaka kriptografi, perangkat lunak dompet, komponen infrastruktur, dan proyek-proyek lain yang membentuk bagian dari ekosistem Bitcoin.
Calle mengatakan pekerjaan ini bergantung pada beberapa alat uji yang dikembangkan khusus untuk upaya tersebut. Dia juga mengungkapkan bahwa kampanye ini menghabiskan sekitar $10.000 per hari dalam biaya komputasi, dengan OpenSats menanggung biayanya. Menurut postingannya, Kimi Moonshot telah menyediakan akun AI dan akses ke model Kimi K3-nya untuk mendukung tinjauan tersebut.
Kelompok ini juga telah meminta anggota komunitas untuk menyumbangkan akun komputasi atau token digital untuk mempertahankan inisiatif tersebut.
Upaya tinjauan ini menyusul salah satu insiden keamanan dompet terbesar yang diketahui yang memengaruhi pengguna Bitcoin dalam beberapa tahun terakhir.
Seperti yang dilaporkan sebelumnya oleh crypto.news, Galaxy Research telah mengonfirmasi bahwa penyerang mencuri 1.596 BTC dari sekitar 7.300 alamat di tiga gelombang serangan yang dikonfirmasi, sekaligus mengidentifikasi 14 insiden kecil yang terkait dengan cacat pembuatan seed Coldcard yang sama.
Perusahaan riset tersebut secara terpisah telah mengidentifikasi gelombang keempat terkoordinasi yang dicurigai yang dapat meningkatkan total kerugian menjadi sekitar 2.055 BTC, meskipun belum memasukkan alamat-alamat tersebut dalam penghitungan yang dikonfirmasi karena konfirmasi korban tambahan masih tertunda.
Analisis blockchain sebelumnya oleh Galaxy memperkirakan gelombang keempat yang dicurigai melibatkan 448,7 BTC yang berpindah dari 709 alamat korban yang mungkin, meskipun perusahaan tersebut memperingatkan bahwa analisis blockchain saja tidak dapat secara konklusif mengidentifikasi setiap korban atau membuktikan apakah satu operator melakukan setiap pencurian.
Penyelidik juga menemukan bahwa sekitar 90% Bitcoin yang dicuri tetap tidak bergerak. Dalam aktivitas on-chain terpisah yang dilaporkan minggu ini, para analis mengamati penyerang lain mulai mengarahkan 64 BTC melalui Bitcoin mixer, sementara penyerang terbesar yang diketahui terus memegang 1.159 BTC di tujuh alamat tanpa mentransfer dana tersebut.
Menurut Coinkite, kerentanan Coldcard berasal dari perubahan firmware yang diperkenalkan pada Maret 2021 saat mengintegrasikan pustaka kriptografi baru.
Alih-alih menghasilkan seed dompet dengan generator bilangan acak hardware yang dimaksudkan, versi firmware yang rentan mengandalkan generator pseudo-acak deterministik yang disediakan oleh MicroPython selama pembuatan seed.
Tim teknik dan keamanan Bitcoin Block secara independen mencapai kesimpulan yang sama setelah meninjau firmware. Meskipun Block mengatakan belum menyelesaikan pengujian empiris di setiap perangkat yang terpengaruh, mereka menyimpulkan bahwa firmware yang rentan memanggil fallback deterministik alih-alih generator bilangan acak hardware STM32 saat membuat seed dompet.
Coinkite memperkirakan perangkat Mk2 dan Mk3 yang terpengaruh menghasilkan sekitar 40 bit entropi efektif, sementara perangkat Mk4, Mk5, dan Coldcard Q yang rentan menghasilkan sekitar 72 bit alih-alih 128 bit yang dimaksudkan.
Pembaruan firmware darurat telah dirilis untuk semua produk yang terpengaruh. Perusahaan juga telah memperingatkan bahwa menginstal firmware yang diperbaiki tidak mengamankan dompet yang dibuat dengan versi rentan. Pengguna harus membuat frasa benih (seed phrase) yang benar-benar baru pada perangkat yang diperbarui dan mentransfer Bitcoin mereka ke alamat yang berasal dari frasa benih baru tersebut.
Dompet yang dibuat menggunakan setidaknya 50 guliran dadu pribadi tidak dianggap rentan terhadap masalah pembangkitan bilangan acak spesifik ini saja, meskipun Coinkite terus merekomendasikan migrasi.
Sementara investigasi Coldcard tetap aktif, Bitcoin Red Team mengatakan telah terus mengirimkan kerentanan yang baru diidentifikasi ke proyek perangkat lunak yang terpengaruh seiring dengan kemajuan tinjauan.
Menurut Calle, beberapa masalah kritis diungkapkan secara pribadi kepada pemelihara proyek dalam 12 jam sebelumnya, alih-alih dirilis secara publik. Kelompok tersebut belum mengidentifikasi proyek-proyek yang terpengaruh saat pengembang mengerjakan perbaikan.
Kampanye sukarela ini menggabungkan temuan yang dihasilkan AI dengan tinjauan manusia sebelum melaporkan masalah, dan tim mengatakan mereproduksi kerentanan yang dilaporkan tetap menjadi bagian dari proses verifikasinya. Dari hampir 5.000 potensi temuan yang teridentifikasi sejauh ini, lebih dari seperlima telah direproduksi, sementara tinjauan berlanjut di repositori Bitcoin tambahan.
