Un'iniziativa del Bitcoin Red Team basata su Kimi K3, un modello di frontiera sviluppato dal laboratorio di intelligenza artificiale Moonshot AI con sede a Pechino, ha completato una revisione di sicurezza completa dell'ecosistema open source di Bitcoin, portando alla luce migliaia di potenziali vulnerabilità nello stack software che supporta la rete.

Nel corso di due settimane, i ricercatori hanno catalogato 7.958 risultati su circa 390 progetti, di cui 1.280 classificati come di gravità alta o critica. Il team ha descritto l'esercizio come uno scontro tra decenni di codice open source scritto dall'uomo accumulatosi nel tempo e la velocità analitica di un moderno modello di IA di frontiera, osservando che gran parte della superficie di vulnerabilità più facilmente raggiungibile è ormai stata esaminata.

Valutazioni indipendenti condotte dall'AI Security Institute del Regno Unito e dal Center for AI Security Standards and Innovation (CAISI) statunitense — gli istituti governativi che valutano i modelli di IA di frontiera — hanno confermato la pertinenza del modello per il lavoro di cybersecurity, pur rilevando che resta alle spalle dei più potenti modelli chiusi statunitensi in alcuni benchmark di sviluppo di exploit.

La campagna ha già prodotto risultati concretamente convalidati. BTCPay Server, un processore di pagamenti open source self-hosted ampiamente utilizzato che consente ai commercianti di accettare Bitcoin senza intermediari di terze parti, ha corretto in versione 2.4.2 una critica vulnerabilità di bypass dell'autenticazione a due fattori dopo che i ricercatori ne avevano segnalato la presenza, confermando successivamente che gli attaccanti l'avevano già sfruttata per estrarre credenziali dei wallet Lightning. Ulteriori rilasci coordinati sono seguiti man mano che il progetto ha lavorato su segnalazioni aggiuntive provenienti da più gruppi di ricerca.

Le cifre richiedono un'interpretazione attenta

Le cifre richiedono comunque un contesto. Al momento della redazione, circa un quarto dei problemi totali era stato riprodotto dinamicamente e poco meno del 30% era stato comunicato ai maintainer upstream. Il dataset non rappresenta 7.958 vulnerabilità sfruttabili confermate: le scansioni automatiche possono generare falsi positivi e segnalazioni duplicate, e le classificazioni preliminari di gravità cambiano spesso durante l'indagine manuale.

I ricercatori hanno sottolineato che la revisione ha preso di mira l'ecosistema più ampio di wallet, infrastrutture Lightning, librerie di pagamento e strumenti affini, e non il protocollo di consenso di base di Bitcoin. Lightning, una rete di pagamenti di secondo livello costruita sopra Bitcoin, aggiunge logiche di gestione dei canali e di routing che ricadono al di fuori delle regole di consenso del protocollo di base. Le vulnerabilità erano concentrate in particolare in basi di codice più datate o poco revisionate, con lo stack della rete Lightning descritto come caratterizzato da una complessità e un'esposizione sproporzionate rispetto agli altri componenti. La prevalenza di implementazioni basate su C è stata inoltre segnalata come un fattore di rischio strutturale persistente nei progetti esaminati, in linea con una preoccupazione di lunga data del settore: gli errori di memory safety nel codice C sono tra le cause più comuni di vulnerabilità critiche, un riconoscimento che ha favorito la crescente adozione di linguaggi memory-safe come Rust nel software sensibile dal punto di vista della sicurezza.

Un partecipante all'iniziativa, che pubblica come calle su X, ha descritto la dinamica:

gained a ton of new insights working in bitcoin red team that i wish i could share without vague posting. but this is what i got anon. – we're experiencing a massive collision between decades of human open source slop against 2 weeks of kimi k3 (not good) – everything is…

— calle (@callebtc), August 13, 2026

L'ecosistema si adegua rapidamente mentre l'IA ridefinisce le tempistiche della sicurezza

La campagna segnala un punto di svolta più ampio nella cybersecurity open source. I modelli di IA di frontiera hanno drasticamente compresso i costi e i tempi della scoperta delle vulnerabilità, rendendo possibile revisionare anni di codice accumulato in poche settimane. Questa accelerazione crea un rischio acuto per i progetti non più mantenuti, in cui il codice legacy è ora esposto a rischi maggiori man mano che le capacità offensive diventano accessibili a una gamma più ampia di attori.

Gli organizzatori hanno sottolineato che la velocità di risposta alle vulnerabilità segnalate è emersa come un indicatore critico di salute di un progetto, e hanno consigliato ai team di sviluppo di costruire pipeline di audit continue assistite dall'IA invece di affidarsi esclusivamente a revisioni esterne periodiche. Hanno inoltre ribadito l'importanza della divulgazione coordinata — la pratica consolidata di segnalare privatamente le falle ai maintainer e lasciare tempo per le correzioni prima della pubblicazione — osservando che la fiducia tra ricercatori e maintainer resta essenziale per una collaborazione efficace in materia di sicurezza.

L'ecosistema si sta mobilitando per evitare un divario di capacità crescente tra attaccanti e difensori. OpenSats, un'organizzazione non profit che finanzia lo sviluppo Bitcoin libero e open source, ha istituito un canale di grant a iterazione rapida pensato per rimborsare i ricercatori dei costi dei grandi modelli linguistici, abbassando la barriera a un lavoro di sicurezza continuativo basato sull'IA. Separatamente, una coalizione di oltre 40 organizzazioni Bitcoin e di asset digitali ha presentato una petizione ai principali laboratori di IA affinché forniscano ai difensori open source verificati un accesso controllato ai modelli di frontiera in ambienti di ricerca sicuri, completi di potenza di calcolo sufficiente e di canali di comunicazione diretti con i team di sicurezza dell'IA. La coalizione ha avvertito che, senza strumenti comparabili, i difensori legittimi rischiano di restare indietro rispetto ad attori malintenzionati, che non devono sottostare a simili restrizioni di accesso.

Anche i sostenitori di BTCPay hanno sostenuto le operazioni di ripristino e promesso finanziamenti all'iniziativa Bitcoin Red Team, a riprova di una crescente consapevolezza del fatto che la revisione esterna della sicurezza costituisce un'esigenza permanente e non temporanea dell'ecosistema.

Per gli utenti comuni, la conseguenza immediata è più circoscritta di quanto suggeriscano le cifre in titolo: non è stato dimostrato che il protocollo di base di Bitcoin sia compromesso, ma l'infrastruttura software circostante richiede una vigilanza rafforzata, a partire dal mantenere aggiornati il software dei wallet e dei server. Man mano che la scoperta automatizzata continua a scalare, il collo di bottiglia centrale della sicurezza delle criptovalute si sta spostando dal trovare le falle al verificarle, segnalarle e correggerle a un ritmo che tenga il passo con la velocità dell'IA moderna. I punti di riferimento concreti da osservare derivano dalle stesse cifre della campagna: quanta parte di quel circa 70% di risultati non ancora comunicati a monte raggiungerà i maintainer, se i laboratori di IA concederanno l'accesso richiesto ai difensori, e con quale rapidità progetti come BTCPay Server trasformeranno ulteriori segnalazioni in rilasci corretti.

Fonte: Metaverse Post