Inisyatiba para sa Seguridad ng Bitcoin
Isang boluntaryong inisyatiba para sa seguridad ng Bitcoin ang nakatukoy ng 4,962 potensyal na isyu sa seguridad sa 390 mga proyekto na may kaugnayan sa Bitcoin sa loob ng unang 29.8 oras ng pagsusuri ng code na tinutulungan ng AI. Sa mga natuklasan, 720 ang nakategorya bilang mataas o kritikal na antas. Ayon kay Calle, isang developer ng Bitcoin, inilunsad ng Bitcoin Red Team ang isang koordinadong pagsusuri sa seguridad na sumasaklaw sa mga library ng Bitcoin, mga wallet, software ng imprastruktura, at iba pang mga open-source na proyekto kasunod ng mga kamakailang pag-atake sa Coldcard wallet.
Mga Natuklasan at Pagsusuri
“Nakapagsulat kami ng maraming harnesses at inilulunsad namin ang isang malaking alon ng mga pagsusuri laban sa maraming pangunahing proyekto ng Bitcoin: crypto libs, wallets, infra… ang sitwasyon ay labis na masama. Umaabot kami sa isang kritikal na exploit kada oras bawat tao,” sabi ni Calle.
Ang boluntaryong pagsisikap ay kinabibilangan ng AnchorWatch CEO na si Rob Hamilton at iba pang mga kontribyutor ng Bitcoin na gumagamit ng mga tool na tinutulungan ng AI kasabay ng manu-manong beripikasyon upang matukoy ang mga kahinaan sa software.
Kahalagahan ng Inisyatiba
Sa isang post sa X, sinabi ni Calle na ang grupo ay nakapag-ulat na ng mga kritikal na kahinaan sa ilang mga proyekto sa loob ng nakaraang 12 oras. Inilarawan din niya ang sitwasyon sa seguridad bilang “labis na masama.” Ang kampanya ay naganap hindi hihigit sa isang linggo matapos na samantalahin ng mga umaatake ang isang depekto na nakakaapekto sa mahina na firmware ng Coldcard hardware wallet, isang insidente na nag-udyok sa mga developer at mananaliksik na palakasin ang mga pagsusuri sa software ng Bitcoin.
Mga Detalye ng Pagsusuri
Ayon sa datos na ibinahagi ni Calle, nakumpleto ng inisyatiba ang mga automated at manu-manong pagsusuri sa 390 repositories, na nakatukoy ng 4,962 potensyal na isyu sa proseso. Sa mga ito, 720 ang nakategorya bilang mataas o kritikal na mga natuklasan. Idinagdag ng koponan na 21.4% ng mga naiulat na isyu ay na-reproduce na, na nagpapahiwatig na isang bahagi ng mga paunang natuklasan na nabuo ng AI ay independiyenteng napatunayan.
Mga Gastos at Suporta
Ang kampanya ay kumakain ng humigit-kumulang $10,000 bawat araw sa mga gastos sa computing, na sinasaklaw ng OpenSats. Ayon sa kanyang post, ang Kimi Moonshot ay nagbigay ng mga AI account at access sa kanyang Kimi K3 model upang suportahan ang mga pagsusuri. Humiling din ang grupo sa mga miyembro ng komunidad na mag-ambag ng mga computing account o digital tokens upang mapanatili ang inisyatiba.
Mga Insidente ng Seguridad
Ang pagsisikap sa pagsusuri ay sumusunod sa isa sa pinakamalaking kilalang insidente ng seguridad ng wallet na nakakaapekto sa mga gumagamit ng Bitcoin sa mga nakaraang taon. Tulad ng naunang iniulat ng crypto.news, nakumpirma ng Galaxy Research na ninakaw ng mga umaatake ang 1,596 BTC mula sa humigit-kumulang 7,300 address sa tatlong nakumpirmang alon ng pag-atake, habang nakilala rin ang 14 na mas maliliit na insidente na nauugnay sa parehong depekto sa seed-generation ng Coldcard.
Pag-aaral sa Coldcard Vulnerability
Ayon sa Coinkite, ang kahinaan ng Coldcard ay nagmula sa isang pagbabago ng firmware na ipinakilala noong Marso 2021 habang isinasama ang isang bagong cryptographic library. Sa halip na bumuo ng mga seed ng wallet gamit ang nakatakdang hardware random-number generator, ang mga mahihinang bersyon ng firmware ay umasa sa isang deterministic pseudo-random generator na ibinigay ng MicroPython sa panahon ng paglikha ng seed.
Mga Hakbang sa Seguridad
Habang ang imbestigasyon sa Coldcard ay nananatiling aktibo, sinabi ng Bitcoin Red Team na patuloy itong nagsusumite ng mga bagong natukoy na kahinaan sa mga apektadong proyekto ng software habang umuusad ang mga pagsusuri. Ayon kay Calle, ilang kritikal na isyu ang inihayag nang pribado sa mga tagapangasiwa ng proyekto sa loob ng nakaraang 12 oras sa halip na ilabas nang publiko.
Ang boluntaryong kampanya ay pinagsasama ang mga natuklasan na nabuo ng AI sa pagsusuri ng tao bago iulat ang mga isyu, at sinabi ng koponan na ang pag-reproduce ng mga naiulat na kahinaan ay nananatiling bahagi ng kanilang proseso ng beripikasyon. Sa halos 5,000 potensyal na natuklasan na nakilala sa ngayon, higit sa isang-kalimang bahagi ang na-reproduce na, habang patuloy ang mga pagsusuri sa karagdagang mga repository ng Bitcoin.
