Inisiatif Keamanan Bitcoin: Tim Merah Bitcoin
Sebuah inisiatif keamanan Bitcoin sukarela, yang dikenal sebagai Tim Merah Bitcoin, telah mengidentifikasi 4.962 potensi masalah keamanan di 390 proyek terkait Bitcoin dalam waktu 29,8 jam pertama tinjauan kode yang dibantu oleh kecerdasan buatan (AI). Dari jumlah tersebut, 720 masalah diklasifikasikan sebagai tingkat tinggi atau kritis.
Tinjauan Keamanan Terkoordinasi
Menurut pengembang Bitcoin, Calle, Tim Merah Bitcoin meluncurkan tinjauan keamanan terkoordinasi yang mencakup pustaka Bitcoin, dompet, perangkat lunak infrastruktur, dan proyek open-source lainnya setelah serangan baru-baru ini terhadap dompet Coldcard. Calle menyatakan,
“Kami telah menulis beberapa alat pengujian dan meluncurkan gelombang besar tinjauan terhadap banyak proyek inti Bitcoin, termasuk pustaka kriptografi, dompet, dan infrastruktur. Situasinya sangat buruk; kami rata-rata menemukan sekitar satu eksploitasi kritis per jam per orang.”
Metodologi dan Pendanaan
Upaya sukarela ini melibatkan CEO AnchorWatch, Rob Hamilton, dan kontributor Bitcoin lainnya yang menggunakan alat bantu AI bersama dengan verifikasi manual untuk mengidentifikasi kerentanan perangkat lunak. Dalam sebuah posting di platform X, Calle menyebutkan bahwa kelompok tersebut “rata-rata menemukan sekitar satu eksploitasi kritis per jam per orang” dan telah melaporkan kerentanan kritis ke beberapa proyek dalam 12 jam terakhir.
Kampanye ini muncul kurang dari seminggu setelah penyerang mengeksploitasi celah yang mempengaruhi firmware dompet perangkat keras Coldcard, sebuah insiden yang telah mendorong pengembang dan peneliti untuk mempercepat tinjauan perangkat lunak Bitcoin. Menurut data yang dibagikan oleh Calle, inisiatif ini telah menyelesaikan tinjauan otomatis dan manual di 390 repositori, mengidentifikasi 4.962 potensi masalah dalam proses tersebut. Dari jumlah tersebut, 720 telah diklasifikasikan sebagai temuan dengan tingkat tinggi atau kritis.
Temuan dan Verifikasi
Tim menambahkan bahwa 21,4% dari masalah yang dilaporkan telah direproduksi, menunjukkan bahwa sebagian dari temuan awal yang dihasilkan AI telah diverifikasi secara independen. Alih-alih fokus pada satu aplikasi, kampanye tinjauan mencakup pustaka kriptografi, perangkat lunak dompet, komponen infrastruktur, dan proyek lain yang merupakan bagian dari ekosistem Bitcoin.
Calle menjelaskan bahwa pekerjaan ini bergantung pada beberapa alat pengujian yang dikembangkan khusus untuk upaya tersebut. Dia juga mengungkapkan bahwa kampanye ini menghabiskan sekitar $10.000 per hari untuk biaya komputasi, dengan OpenSats menanggung biaya tersebut. Menurut postingannya, Kimi Moonshot telah menyediakan akun AI dan akses ke model Kimi K3 untuk mendukung tinjauan tersebut.
Insiden Keamanan dan Dampaknya
Upaya tinjauan ini mengikuti salah satu insiden keamanan dompet terbesar yang diketahui yang mempengaruhi pengguna Bitcoin dalam beberapa tahun terakhir. Seperti yang dilaporkan sebelumnya oleh crypto.news, Galaxy Research telah mengonfirmasi bahwa penyerang mencuri 1.596 BTC dari sekitar 7.300 alamat dalam tiga gelombang serangan yang terkonfirmasi, sambil juga mengidentifikasi 14 insiden lebih kecil yang terkait dengan celah pembuatan seed Coldcard yang sama.
Perusahaan riset tersebut secara terpisah telah mengidentifikasi gelombang keempat yang dicurigai terkoordinasi yang dapat meningkatkan total kerugian menjadi sekitar 2.055 BTC, meskipun alamat tersebut belum dimasukkan dalam hitungan yang terkonfirmasi karena konfirmasi tambahan dari korban masih tertunda. Analisis blockchain sebelumnya oleh Galaxy memperkirakan bahwa gelombang keempat yang dicurigai melibatkan 448,7 BTC yang berpindah dari 709 alamat korban yang mungkin, meskipun perusahaan memperingatkan bahwa analisis blockchain saja tidak dapat secara meyakinkan mengidentifikasi setiap korban atau membuktikan apakah satu operator melakukan setiap pencurian.
Kerentanan Coldcard dan Tindakan Perbaikan
Menurut Coinkite, kerentanan Coldcard berasal dari perubahan firmware yang diperkenalkan pada Maret 2021 saat mengintegrasikan pustaka kriptografi baru. Alih-alih menghasilkan seed dompet dengan generator angka acak perangkat keras yang dimaksud, versi firmware yang rentan bergantung pada generator pseudo-acak deterministik yang disediakan oleh MicroPython selama pembuatan seed.
Tim teknik dan keamanan Bitcoin Block secara independen mencapai kesimpulan yang sama setelah meninjau firmware tersebut. Sementara Block mengatakan bahwa mereka belum menyelesaikan pengujian empiris di setiap perangkat yang terpengaruh, mereka menyimpulkan bahwa firmware yang rentan memanggil fallback deterministik alih-alih generator angka acak perangkat keras STM32 saat membuat seed dompet.
Coinkite memperkirakan bahwa perangkat Mk2 dan Mk3 yang terpengaruh menghasilkan sekitar 40 bit entropi efektif, sementara perangkat Mk4, Mk5, dan Coldcard Q yang rentan menghasilkan sekitar 72 bit alih-alih 128 bit yang dimaksudkan. Pembaruan firmware darurat telah dirilis untuk semua produk yang terpengaruh.
Kesimpulan
Pengguna harus menghasilkan frasa seed baru sepenuhnya di perangkat yang diperbarui dan mentransfer Bitcoin mereka ke alamat yang diturunkan dari seed baru tersebut. Dompet yang dibuat menggunakan setidaknya 50 lemparan dadu pribadi tidak dianggap rentan terhadap masalah spesifik penghasil angka acak ini saja, meskipun Coinkite terus merekomendasikan migrasi. Sementara penyelidikan Coldcard tetap aktif, Tim Merah Bitcoin mengatakan bahwa mereka terus mengajukan kerentanan yang baru diidentifikasi ke proyek perangkat lunak yang terpengaruh seiring kemajuan tinjauan.
Menurut Calle, beberapa masalah kritis telah diungkapkan secara pribadi kepada pemelihara proyek dalam 12 jam terakhir alih-alih dirilis secara publik. Kelompok tersebut belum mengidentifikasi proyek yang terpengaruh sementara para pengembang bekerja pada perbaikan. Kampanye sukarela ini menggabungkan temuan yang dihasilkan AI dengan tinjauan manusia sebelum melaporkan masalah, dan tim mengatakan bahwa mereproduksi kerentanan yang dilaporkan tetap menjadi bagian dari proses verifikasi mereka.
