Une initiative de la Bitcoin Red Team articulée autour de Kimi K3, un modèle de pointe issu du laboratoire d'IA Moonshot AI, basé à Pékin, a mené un balayage de sécurité exhaustif de l'écosystème open source de Bitcoin, mettant au jour des milliers de vulnérabilités potentielles dans la pile logicielle qui soutient le réseau.

Sur une période de deux semaines, les chercheurs ont recensé 7 958 constats couvrant environ 390 projets, dont 1 280 classés de gravité élevée ou critique. L'équipe a décrit l'exercice comme une collision entre des décennies de code open source rédigé par l'humain et la vitesse d'analyse d'un modèle d'IA de pointe moderne, en notant qu'une grande partie de la surface de vulnérabilité la plus accessible a désormais été examinée.

Des évaluations indépendantes de l'AI Security Institute du Royaume-Uni et du Center for AI Security Standards and Innovation (CAISI) des États-Unis — les instituts gouvernementaux qui évaluent les modèles d'IA de pointe — ont corroboré la pertinence du modèle pour les travaux de cybersécurité, tout en notant qu'il demeure derrière les modèles fermés américains les plus performants sur certaines évaluations comparatives de développement d'exploits.

La campagne a déjà produit des résultats concrètement validés. BTCPay Server, un processeur de paiement open source auto-hébergé largement utilisé permettant aux commerçants d'accepter Bitcoin sans intermédiaire tiers, a corrigé dans sa version 2.4.2 un contournement critique de l'authentification à deux facteurs après la divulgation de la faille par les chercheurs, puis a confirmé que des attaquants l'avaient déjà exploitée pour extraire des identifiants de portefeuilles Lightning. D'autres versions coordonnées ont suivi, à mesure que le projet traitait de nouveaux rapports émanant de plusieurs groupes de recherche.

Des chiffres qui appellent une interprétation prudente

Les chiffres demandent néanmoins d'être replacés dans leur contexte. Au moment de la rédaction, environ un quart des problèmes recensés avaient été reproduits dynamiquement, et un peu moins de 30 % avaient été communiqués aux mainteneurs en amont. Le jeu de données ne représente pas 7 958 vulnérabilités exploitables confirmées : les analyses automatisées peuvent générer des faux positifs et des rapports en double, et les niveaux de gravité préliminaires évoluent fréquemment lors des investigations manuelles.

Les chercheurs ont insisté sur le fait que le balayage ciblait l'écosystème élargi des portefeuilles, de l'infrastructure Lightning, des bibliothèques de paiement et des outils connexes, plutôt que le protocole de consensus de Bitcoin lui-même. Lightning, un réseau de paiement de seconde couche construit au-dessus de Bitcoin, ajoute une logique de gestion de canaux et de routage qui se situe hors des règles de consensus du protocole de base. Les vulnérabilités étaient particulièrement concentrées dans les bases de code anciennes ou peu examinées, la pile réseau Lightning étant décrite comme présentant une complexité et une exposition disproportionnées par rapport aux autres composants. La prévalence des implémentations en C a également été signalée comme un facteur de risque structurel persistant dans l'ensemble des projets examinés, faisant écho à une préoccupation de longue date du secteur : les erreurs de sûreté mémoire dans le code C comptent parmi les sources les plus fréquentes de vulnérabilités critiques, un constat qui a nourri l'adoption croissante de langages sûrs pour la mémoire, comme Rust, dans les logiciels sensibles à la sécurité.

Un participant à l'initiative, qui publie sous le nom de calle sur X, a décrit la dynamique :

gained a ton of new insights working in bitcoin red team that i wish i could share without vague posting. but this is what i got anon. – we're experiencing a massive collision between decades of human open source slop against 2 weeks of kimi k3 (not good) – everything is…

— calle (@callebtc), August 13, 2026

L'écosystème s'emploie à s'adapter alors que l'IA redéfinit les calendriers de sécurité

La campagne marque un point d'inflexion plus large dans la cybersécurité open source. Les modèles d'IA de pointe ont radicalement compressé le coût et le délai de découverte des vulnérabilités, rendant possible l'examen de plusieurs années de code accumulé en quelques semaines. Cette accélération crée un risque aigu pour les projets non maintenus, dont le code hérité est désormais exposé davantage à mesure que les capacités offensives deviennent accessibles à un éventail plus large d'acteurs.

Les organisateurs ont souligné que la rapidité de réponse aux problèmes divulgués s'est imposée comme un indicateur critique de la santé d'un projet, et ont conseillé aux équipes de développement de mettre en place des chaînes d'audit continues assistées par IA plutôt que de compter uniquement sur des revues externes périodiques. Ils ont également rappelé l'importance de la divulgation coordonnée — la pratique établie consistant à signaler en privé les failles aux mainteneurs et à laisser le temps nécessaire aux correctifs avant publication —, en notant que la confiance entre chercheurs et mainteneurs demeure essentielle à une collaboration de sécurité efficace.

L'écosystème se mobilise pour empêcher un écart de capacités croissant entre attaquants et défenseurs. OpenSats, organisation à but non lucratif finançant le développement libre et open source de Bitcoin, a établi une voie de subvention accélérée destinée à rembourser les chercheurs des coûts de grands modèles de langage, abaissant la barrière à un travail de sécurité durable fondé sur l'IA. Par ailleurs, une coalition de plus de 40 organisations du secteur Bitcoin et des actifs numériques a adressé une requête aux principaux laboratoires d'IA pour qu'ils offrent aux défenseurs open source vérifiés un accès contrôlé aux modèles de pointe dans des environnements de recherche sécurisés, assorti de moyens de calcul suffisants et de canaux de communication directs avec les équipes de sécurité des IA. La coalition a averti que, sans des outils comparables, les défenseurs légitimes risquent d'être distancés par des acteurs malveillants qui ne font face à aucune restriction d'accès de cette nature.

Les partisans de BTCPay ont également apporté leur soutien aux efforts de remise en état et promis un financement à l'initiative Bitcoin Red Team, traduisant une reconnaissance croissante du fait que la revue externe de sécurité constitue un besoin permanent, et non temporaire, de l'écosystème.

Pour les utilisateurs ordinaires, l'enseignement immédiat est plus étroit que ne le suggèrent les chiffres à la une : le protocole de base de Bitcoin n'a pas été démontré comme compromis, mais l'infrastructure logicielle qui l'entoure exige une vigilance accrue, à commencer par la mise à jour systématique des logiciels de portefeuille et de serveur. À mesure que la découverte automatisée poursuit sa montée en échelle, le goulot d'étranglement central de la sécurité des cryptomonnaies se déplace de la recherche des failles vers leur vérification, leur divulgation et leur correction, à un rythme comparable à la vitesse de l'IA moderne. Les indicateurs concrets à surveiller découlent des chiffres de la campagne elle-même : quelle part des quelque 70 % de constats non encore communiqués en amont parviendra aux mainteneurs, si les laboratoires d'IA accordent l'accès demandé aux défenseurs, et à quelle vitesse des projets comme BTCPay Server transformeront les prochaines divulgations en versions corrigées.

Source : Metaverse Post