Скоординированная кампания по безопасности Bitcoin выявила почти 5 000 программных проблем в сотнях проектов с открытым исходным кодом примерно за 30 часов. Усилие объединило экспертизу людей и инструменты искусственного интеллекта для выявления программных уязвимостей.

Инициатива объединила 16 исследователей безопасности под руководством разработчика Calle при поддержке OpenSats, OpenCode и спонсоров AI-инференса. Группа совместно провела скоординированный аудит сотен Bitcoin-проектов.

Разбор результатов

По данным команды, исследователи зафиксировали 4 962 находки в 390 Bitcoin-связанных проектах в ходе кампании. В общее число вошли 85 критических и 635 высокосерьёзных находок, что в сумме даёт 720 наиболее значимых отчётов.

Кампания поддерживала высокий темп — в среднем около 166 зафиксированных находок каждый час на протяжении всего аудита. По опубликованным данным, команда выявляла примерно 2,3 критических или высокосерьёзных проблемы на каждый человеко-час работы.

Исследователи отметили, что кампания отличалась от традиционного аудита безопасности, поскольку в ходе тестирования люди активно направляли работу AI-систем. Каждый участник использовал разные промпты и методы, что помогало выявлять уязвимости, которые единый подход мог бы пропустить.

В итоговый счёт также вошли находки, собранные одним участником до официального начала живой кампании. После их добавления крипто-библиотеки и SDK зафиксировали наибольшую долю проблем — 1 385 отчётов.

Что показали находки

Команда указала, что примерно каждая седьмая из зафиксированных находок относится к категориям высокой или критической серьёзности. Лишь один проверенный проект завершил кампанию без единого зафиксированного нарушения, что вызвало шутливый комментарий разработчика Bitcoin Core Мэтта Кораллу.

Исследователи уже начали отправлять подтверждённые критические находки мейнтейнерам затронутых проектов с подтверждающими демонстрациями proof-of-concept. Многие мейнтейнеры, по имеющимся данным, быстро подтвердили отчёты, хотя обработка столь большого объёма по-прежнему остаётся серьёзной задачей.

Кампания проводится в момент, когда безопасность Bitcoin-программного обеспечения привлекает всё большее внимание в экосистеме после нескольких недавних инцидентов. Отдельно: Bitcoin зафиксировал около 0,98 млн ежедневных активных адресов 31 июля — наивысший уровень с декабря 2024 года. Всплеск последовал за атаками на кошельки, сиды которых были сгенерированы с помощью дефектной прошивки Coldcard.

Источник: CryptoPotato