Bitcoin Red Team telah memperluas tinjauan keamanan berbantuan AI mereka ke 501 proyek open-source terkait Bitcoin, mencatat 7.958 temuan dalam penghitungan rinci terbaru mereka setelah 108 jam kerja.
Calle, seorang developer Bitcoin pseudonim yang terlibat dalam upaya ini, mengatakan pada 13 Agustus bahwa tim kini telah menyelesaikan pemindaian dasar hampir seluruh ekosistem open-source Bitcoin dan sebagian besar permukaan kerentanan yang lebih mudah ditemukan telah diperiksa.
Angka-angka utama ini memerlukan pembedaan penting. 7.958 temuan tersebut tidak mewakili 7.958 kerentanan yang terkonfirmasi dapat dieksploitasi. Tim mengklasifikasikan 1.280 di antaranya sebagai tingkat tinggi atau kritis, sementara 24,7% dari semua temuan telah direproduksi secara dinamis dan 29,4% telah dilaporkan ke maintainer pada tanda 108 jam. Tinjauan maintainer dan reproduksi manual tetap menjadi bagian dari proses verifikasi.
Calle mengatakan dua minggu bekerja dengan Kimi K3 dari Moonshot AI mengungkapkan seberapa cepat model modern dapat memeriksa kode open-source yang terakumulasi selama bertahun-tahun. Dia menggambarkan situasi ini sebagai “tabrakan besar” antara perangkat lunak lama dan AI garis depan, menambahkan “semuanya rusak, bitcoin terbakar.” Ungkapan ini adalah karakternya sendiri dan tidak boleh dibaca sebagai bukti bahwa Bitcoin Core atau setiap proyek Bitcoin telah dikompromikan.
Pengujian independen mendukung poin yang lebih sempit bahwa Kimi K3 memiliki kemampuan keamanan siber yang signifikan. Penilaian bersama U.K. AI Security Institute dan U.S. CAISI menemukan bahwa model ini mengungguli GLM-5.2 dalam pengujian pengembangan eksploitasi tetapi tetap tertinggal di belakang model tertutup AS terkuat. Kimi K3 mencetak 32% pada ExploitBench dan mencapai eksekusi kode arbitrer pada nol dari 41 sampel dalam pengujian tersebut.
Penyisiran awal Bitcoin Red Team menemukan 4.962 potensi masalah di 390 proyek Bitcoin, termasuk 720 yang kemudian diklasifikasikan sebagai tingkat tinggi atau kritis. Penghitungan yang lebih baru menunjukkan peninjauan yang diperluas secara signifikan setelah gelombang pertama itu.
Kampanye ini telah melampaui pemindaian otomatis. Rilis GitHub resmi BTCPay Server mengakui peneliti Bitcoin Red Team, Bruno Garcia dan Ben Carman, yang melaporkan kerentanan kritis yang sudah dieksploitasi. Versi 2.4.2 memperbaiki bypass otentikasi dua faktor yang memengaruhi Greenfield Basic Authentication.
BTCPay kemudian mengonfirmasi bahwa penyerang telah memperoleh kredensial LND admin macaroon dari instalasi yang terpengaruh dan menggunakannya untuk mengakses dompet Lightning yang terhubung. Proyek tersebut mengatakan sedang memproses laporan tambahan dari Bitcoin Red Team, Project Loupe, Magic Grants, dan peneliti independen sambil memperkuat proses pemindaian dan peninjauannya.
Pada 14 Agustus, BTCPay mengumumkan kandidat rilis berfokus keamanan lainnya, v2.4.3-rc4, yang mengatasi kerentanan yang dilaporkan oleh kelompok-kelompok tersebut. Dalam liputan terkait, pendukung BTCPay mendukung bounty pemulihan setelah eksploitasi sebelumnya dan yayasan menjanjikan 0,21 BTC ke dana Bitcoin Red Team.
Perbaikan tersebut memberikan bukti konkret bahwa maintainer memvalidasi setidaknya beberapa laporan serius dari Red Team. Mereka tidak memvalidasi setiap item dalam dataset 7.958 temuan. Audit berbantuan AI dapat menghasilkan positif palsu, laporan duplikat, dan penilaian tingkat keparahan yang berubah setelah investigasi manual, menjadikan verifikasi sebagai inti untuk menafsirkan angka-angka tersebut.
Calle berpendapat bahwa proyek yang tidak terpelihara sekarang harus diperlakukan dengan kehati-hatian lebih besar karena AI telah secara tajam menurunkan biaya untuk menemukan dan menguji kelemahan. Dia juga mengatakan waktu respons menjadi indikator yang berguna untuk kesehatan proyek dan bahwa maintainer akan semakin membutuhkan jalur audit AI berkelanjutan mereka sendiri daripada tinjauan eksternal sesekali. Ini adalah kesimpulan Calle dari kampanye tersebut dan bukan aturan keamanan universal.
Ekosistem yang lebih luas sudah bergerak ke arah itu. OpenSats telah menciptakan jalur hibah red-teaming jalur cepat yang sebagian berfokus pada penggantian biaya LLM bagi peneliti. Lebih dari 40 organisasi Bitcoin dan aset digital juga telah meminta laboratorium AI terkemuka untuk memberikan akses terkontrol kepada pembela open-source yang terverifikasi ke model-model garis depan.
Seperti yang dilaporkan crypto.news, koalisi industri memperingatkan developer Bitcoin dapat tertinggal dari penyerang tanpa akses ke model AI canggih. Permintaan ini tidak mencari akses tak terbatas. Ini mengusulkan peneliti yang terverifikasi, lingkungan yang aman, komputasi yang cukup, dan saluran komunikasi langsung dengan tim keamanan AI.
Fase berikutnya kemungkinan akan bergerak lebih lambat daripada penyisiran awal. Penemuan otomatis dapat berkembang dengan cepat, sementara reproduksi, pengungkapan yang bertanggung jawab, pengembangan patch, dan pengujian regresi memerlukan lebih banyak waktu. Proyek yang menerima laporan harus menentukan temuan mana yang dapat dieksploitasi, seberapa mendesak pengguna membutuhkan pembaruan, dan kapan detail teknis dapat dipublikasikan dengan aman.
Bagi pengguna Bitcoin, kesimpulannya lebih sempit daripada yang disarankan oleh angka-angka terbesar. Red Team telah melaporkan sejumlah besar potensi kelemahan di seluruh perangkat lunak terkait Bitcoin, bukan bukti bahwa protokol konsensus dasar Bitcoin telah gagal. Kekhawatiran keamanan langsung berpusat pada dompet, infrastruktur Lightning, perangkat lunak pembayaran, dan library yang membawa kode lama atau yang ditinjau secara ringan.
