Un gruppo di volontari che si fa chiamare Bitcoin Red Team ha presentato 4.962 risultati di sicurezza su 390 progetti Bitcoin in circa 30 ore, conducendo quella che descrive come una "audit su larga scala dell'ecosistema" alimentata in gran parte da agenti IA. L'iniziativa supera di gran lunga le tipiche revisioni di sicurezza delle criptovalute, che sono generalmente commissionate da un singolo progetto a società come Trail of Bits, Cure53 o Halborn e limitate a codebase specifiche nell'arco di settimane o mesi, piuttosto che estese a centinaia di repository in un solo giorno.

Lo sviluppatore pseudonimo calle, creatore del protocollo ecash per Bitcoin Cashu, ha pubblicato il primo rapporto sulla situazione della campagna mercoledì. Il rapporto classifica 85 risultati come di severità critica e 635 come di severità alta — insieme rappresentano il 14,5% del corpus totale. Ciò si traduce in una media di 1,85 problemi gravi per progetto, presentati a un ritmo di 166 risultati all'ora. Calle ha dichiarato che il team si è ampliato a 16 persone che lavorano senza sosta, con il rapporto che registra 17 contributori in totale: 14 umani e tre automatizzati.

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7 We're running a large-scale ecosystem security audit across bitcoin code bases. 27.5 hours in, we've filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues. We're at… pic.twitter.com/iRCylprbY1 — calle (@callebtc) August 5, 2026

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7

We're running a large-scale ecosystem security audit across bitcoin code bases.

27.5 hours in, we've filed 4,962 findings across 390 projects.

85 critical and 635 high severity issues.

We're at… pic.twitter.com/iRCylprbY1

— calle (@callebtc) August 5, 2026

Gran parte del lavoro rimane manuale, comportando un "accompagnamento manuale dell'IA," ha scritto calle, sebbene i sistemi automatizzati stiano migliorando. Secondo il rapporto, il 91% dei risultati è stato acquisito tramite scansioni automatizzate. Calle ha osservato che permettere a ciascun collaboratore di utilizzare il proprio metodo di revisione preferito "si è rivelata la strategia più efficace," poiché i contributori istruiscono i propri agenti in modo diverso ed evidenziano bug differenti. Circa il 21% dei risultati è stato riprodotto dinamicamente con codice proof-of-concept. L'analisi del codice assistita dall'IA è diventata sempre più comune nei flussi di lavoro dello sviluppo software, ma la sua applicazione sistematica a un intero ecosistema di criptovalute — e il conseguente volume di segnalazioni — mette sotto pressione una norma che si basava su una divulgazione responsabile coordinata, progetto per progetto.

Distribuzione della severità per categoria

La distribuzione della severità varia in modo significativo tra le categorie di progetti. Gli strumenti di privacy e coinjoin hanno prodotto la proporzione più elevata di risultati di severità alta o critica al 24%, seguiti da swap ed exchange al 21% e strumenti di pagamento e merchant al 17%. Le librerie crittografiche e gli SDK hanno generato il maggior volume in termini assoluti con 1.101 risultati, sebbene solo il 10% abbia raggiunto la soglia di severità alta.

I manutentori sotto pressione

Solo 19 progetti — meno del 5% di quelli esaminati — hanno finora ricevuto la divulgazione dei risultati a monte. Calle ha riconosciuto che la campagna si aggiunge a un momento già difficile per i manutentori dei progetti, molti dei quali gestiscono codebase con basi di contributori ridotte e budget di sicurezza dedicati limitati — un problema strutturale da tempo documentato nell'infrastruttura open-source delle criptovalute.

"Siamo sinceramente dispiaciuti se i nostri rapporti hanno aggiunto stress al vostro giorno già stressante," ha scritto. Ha sostenuto che i risultati dovrebbero essere pubblicati rapidamente perché i proprietari dei progetti sono nella posizione migliore per validarli, la validazione è ora quasi gratuita con l'assistenza dell'IA, e chiunque altro utilizzi gli stessi strumenti arriverà alle stesse conclusioni. Otto risultati sono stati ritirati come falsi positivi. Il arretrato di risultati non divulgati per il restante 95% dei progetti solleva questioni pratiche sulle tempistiche di valutazione e sulla capacità dei manutentori di assorbire il volume prima che terze parti replichino indipendentemente gli stessi risultati.

Il contesto Coldcard

La campagna arriva in un momento in cui le assunzioni di sicurezza di Bitcoin sono sottoposte a maggiore scrutinio. Il wallet Coldcard di Coinkite ha comportato perdite utente per circa 130 milioni di dollari dopo che una build del firmware di marzo 2021 ha generato i seed del wallet da un fallback software anziché dal generatore di numeri casuali hardware del dispositivo, rendendo le chiavi private indovinabili. In un'analisi post-mortem, l'azienda ha notato che era probabile che "qualcuno abbia utilizzato l'IA per revisionare le versioni precedenti del nostro firmware."

Il chief technology officer di Ledger, Charles Guillemet, ha dichiarato a Decrypt martedì che l'incidente ha dimostrato che l'IA viene ora utilizzata per identificare vulnerabilità nel codice delle criptovalute "alla velocità della macchina." Ha aggiunto che "open source e revisionato non sono la stessa cosa," sottolineando che la vulnerabilità di Coldcard è rimasta nel codice pubblico per oltre cinque anni finché un avversario ha presumibilmente sfruttato l'IA per scoprirla. La difesa, ha sostenuto, deve ora tenere il passo con gli attaccanti — come stanno dimostrando gruppi come il Bitcoin Red Team.