-1.png){kind=logo}
Кампанию назвали «масштабным аудитом экосистемы». Значительную часть работы выполняли ИИ-агенты, которые автоматически анализировали исходный код и передавали найденные проблемы на дальнейшую проверку специалистам. При этом организаторы подчеркивают, что полностью заменить людей искусственный интеллект пока не смог.
Почти 5000 находок за 30 часов
Первый отчет о ходе кампании опубликовал псевдонимный разработчик calle, создавший протокол Bitcoin ecash Cashu. По его данным, среди 4 962 обнаруженных проблем 85 получили критический уровень опасности, а еще 635 были классифицированы как серьезные.
Таким образом, 720 находок, или около 14,5% от общего количества, относятся к категориям высокой и критической опасности. В среднем на каждый проверенный проект приходится почти две серьезные проблемы, а скорость обнаружения составила около 166 находок в час.
В работе над кампанией участвовали 17 человек, причем 14 из них были людьми, а еще три — автоматизированными системами. Команда продолжает расширяться и, по словам организаторов, работает практически круглосуточно.
При этом значительная часть процесса остается ручной. Разработчики фактически «ведут» ИИ, корректируют его работу и проверяют результаты. Около 91% всех находок поступили через автоматизированную систему сканирования, а примерно для 21% проблем удалось динамически воспроизвести уязвимость с помощью кода, подтверждающего ее существование.
Какие проекты оказались наиболее уязвимыми
Результаты сильно различаются в зависимости от категории программного обеспечения. Наибольшая доля серьезных и критических проблем обнаружена в проектах, связанных с конфиденциальностью и CoinJoin: 24% всех найденных там уязвимостей получили высокий или критический уровень.
Далее следуют свопы и криптовалютные биржи с показателем 21%, а также платежные и торговые инструменты — 17%. При этом криптографические библиотеки и SDK дали самое большое абсолютное количество находок — 1 101, хотя лишь около 10% из них были признаны серьезными.
Получается довольно показательная картина: большое количество найденных ошибок само по себе еще не означает, что конкретный сегмент наиболее опасен. Гораздо важнее доля проблем, способных привести к реальному ущербу.
Разработчики Bitcoin-проектов получили тысячи отчетов
Массовый аудит уже создал дополнительную нагрузку на разработчиков. Пока информация о найденных проблемах была передана непосредственно владельцам лишь 19 проектами — это менее 5% всех проверенных решений.
Организатор кампании признал, что поток отчетов может стать серьезной проблемой для сопровождающих проектов. Однако команда считает, что обнаруженные уязвимости необходимо передавать разработчикам как можно быстрее. По их логике, именно создатели продукта лучше всего могут подтвердить наличие проблемы, а ИИ позволяет существенно сократить стоимость такой проверки.
При этом массовая автоматизация создает и другую проблему — ложные срабатывания. Пока восемь обнаруженных уязвимостей уже были признаны ложными.
Почему история с Coldcard особенно важна
Кампания Bitcoin Red Team проходит на фоне серьезного внимания к безопасности криптовалютных кошельков. Одним из наиболее показательных случаев стала проблема аппаратного кошелька Coldcard, из-за которой пользователи потеряли криптовалюту примерно на $130 млн, или около 11,3 млрд грн.
Проблема была связана с прошивкой, выпущенной в марте 2021 года. Вместо аппаратного генератора случайных чисел устройство в определенных условиях использовало программный резервный механизм для создания seed-фраз кошельков. Это потенциально позволяло предсказывать закрытые ключи.
Особенно примечательно, что в последующем разборе инцидента компания допустила возможность того, что предыдущие версии прошивки мог анализировать искусственный интеллект.
Именно этот момент показывает, насколько сильно меняется баланс сил в сфере кибербезопасности. Раньше открытый исходный код и большое количество разработчиков, которые его проверяют, считались серьезным преимуществом. Теперь наличие кода в открытом доступе одновременно означает, что его могут анализировать не только специалисты проекта, но и автоматизированные системы потенциальных злоумышленников.
ИИ меняет правила безопасности криптовалют
Технический директор Ledger Шарль Гийме считает, что ситуация с Coldcard должна стать предупреждением для всей криптовалютной индустрии. По его словам, искусственный интеллект уже позволяет искать уязвимости в криптовалютном коде практически с машинной скоростью.
Именно поэтому сам факт того, что проект имеет открытый исходный код и ранее проходил проверки, больше не гарантирует его безопасность. Уязвимость может годами оставаться незамеченной, а затем быть обнаружена автоматизированной системой за считаные часы.
Для разработчиков это означает необходимость менять сам подход к аудиту. Если ИИ способен массово искать ошибки, защитникам приходится использовать аналогичные инструменты не только после выхода обновлений, но и на постоянной основе.
Для украинских пользователей криптовалюты эта тенденция также имеет практическое значение. Аппаратные кошельки, мобильные приложения и другие Bitcoin-сервисы используются независимо от страны, поэтому уязвимость в зарубежном проекте может напрямую затронуть владельца криптовалюты в Украине. При этом особенно важно своевременно устанавливать официальные обновления и не воспринимать статус «open source» как автоматическую гарантию безопасности.
Масштаб кампании Bitcoin Red Team показывает, что ИИ способен превратить поиск уязвимостей из точечной работы отдельных исследователей в непрерывный массовый процесс. Почти 5 000 находок за 30 часов — еще не доказательство того, что все проверенные Bitcoin-проекты небезопасны, поскольку часть отчетов окажется ложными или малозначительными. Но это наглядный сигнал для индустрии: теперь разработчикам приходится учитывать, что их код может быть проверен искусственным интеллектом гораздо быстрее, чем раньше.
Источник: decrypt
