Bitcoin Magazine riferisce che la recente vulnerabilità catastrofica nei wallet hardware Coldcard, sfruttata per oltre $100 million, ha spinto i membri della comunità Bitcoin a intensificare gli sforzi per prevenire bug critici simili nel software open source utilizzato in tutto il settore.

PSA: gli utenti dei wallet Coldcard che non hanno migrato i propri bitcoin a nuovi seed generati in firmware sicuro sono ancora a rischio. Potrebbe non essere troppo tardi per intervenire; vedere l’avviso in merito.

Guidato da Calle, software engineer, prolifico vibe coder e creatore della versione Android di Bitchat, e da Rob Hamilton, CEO di Anchorwatch, una società di assicurazione per la self-custody di Bitcoin, il Bitcoin Red Team ha ottenuto finanziamenti e speso oltre $40,000 in token IA per esaminare più di 390 repository open source nell’ecosistema Bitcoin. L’iniziativa riflette la rapidità con cui un incidente di sicurezza in un prodotto ampiamente usato può propagarsi nell’ecosistema più ampio, soprattutto quando librerie software e strumenti vengono riutilizzati in più progetti.

Conosciuto informalmente come il “Bitcoin Red Team”, con meme che circolano su Rob Hamilton e Calle come futuro CEO e CTO di Bitcoin, l’audit di sicurezza guidato dall’IA sta attirando attenzione in tutto il settore. Solo pochi giorni dopo i furti in corso di bitcoin da MK3+ Coldcards legati a un bug RNG, l’exchange Boltz ha dichiarato che avrebbe sospeso le operazioni per tenere il passo con i tentativi di hacking guidati dall’IA.

“27.5 hours in, we’ve filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues. We’re at 2.31 h+c findings per person per hour,” ha detto Calle nell’aggiornamento più recente sul lavoro del Red Team per rafforzare la cybersecurity del settore.

L’attività di revisione della sicurezza utilizza modelli come Kimi K3, GPT Sol, Fable, Opus e GLM5.2, alcuni dei modelli più costosi e all’avanguardia sul mercato. In un primo momento, l’accesso ai modelli di OpenAI e Anthropic era limitato, con una maggiore dipendenza da modelli open source cinesi, un fatto che molti nel settore hanno lamentato e considerato un cattivo presagio per il dominio dell’IA negli Stati Uniti. Ma con la crescita dell’influenza del progetto Red Team dopo l’hack di Coldcard della scorsa settimana, sono stati stabiliti e confermati i collegamenti con OpenAI, dando al Red Team accesso a GPT Sol. La menzione di Fable nel tweet dell’4 agosto di Hamilton suggerisce che sia stato stabilito anche l’accesso ad Anthropic.

Le spese, l’ultima volta contabilizzate in oltre $40,000, sono state coperte da OpenSats, un’organizzazione nonprofit 501(c)(3) dedicata al finanziamento di progetti di sviluppo Bitcoin open source. Il Bitcoin Red Team non ha al momento un sito web o un repository GitHub a cui collegarsi, ma il gruppo è composto da molte persone all’interno del settore Bitcoin. Tra le persone ringraziate pubblicamente per il loro supporto figurano, senza limitarsi a queste, danielabrozzoni, lylepratt, stutxo, benthecarman e thesimplekid.

Hamilton ha condiviso che è stato costruito un harness personalizzato e che sta evolvendo rapidamente. In un momento era composto da 171,599 righe di codice. L’harness è progettato per identificare e testare librerie software Bitcoin critiche e altro codice ad alto carico, individuare e documentare vulnerabilità, riprodurle e impacchettare i dati verificati in report utili per una divulgazione responsabile agli ingegneri del settore. Hamilton ha anche detto che il Red Team intende rendere open source l’harness così che le aziende Bitcoin possano eseguirlo sul proprio codice closed source.

Il Red Team sta contattando attivamente i progetti open source pertinenti in cui scopre vulnerabilità critiche, generando un diffuso senso di apprensione tra gli ingegneri quando ricevono messaggi diretti freddi da Hamilton o Calle, come mostrato in vari screenshot ironici condivisi sui social media. https://x.com/callebtc/status/2085035257477190080

Tra le principali indicazioni condivise pubblicamente dal Red Team durante questo aggiornamento di sicurezza dell’ecosistema Bitcoin FOSS guidato dall’IA, Hamilton ha detto che ingegneri con competenze specifiche su un determinato tema possono talvolta ottenere risultati di alto valore dall’harness, anche quando il sistema potrebbe altrimenti “smell out something is wrong” ma mancare di contesto di nicchia. Un’osservazione che sottolinea l’importanza di far lavorare insieme intelligenza ed esperienza umane con l’IA per identificare in modo efficiente vulnerabilità critiche.

Hamilton ha anche concluso una campagna di più giorni del Red Team dopo l’hack di Coldcard con alcune note personali. Ha detto che la vulnerabilità scoperta nei generatori di numeri casuali di Coldcard e il conseguente sfruttamento del bug da parte degli hacker sono stati un “spiritual attack” contro Bitcoin e l’etica della self-custody del settore, “I mean that in the literal sense of the words”. Dopo aver espresso dolore per le perdite subite da molti Bitcoiners durante quello che ormai è un hack storico, Hamilton ha chiuso il suo tweet con un tono di ferma determinazione: “While things are not easy right now. I have the highest conviction ever in my life that the idea and technology of Bitcoin is worth fighting for. To that end. There is no Bitcoin without self-custody. This is non-negotiable.”

Questo articolo Bitcoin Red Team Finds 85 Critical Flaws Across 390 Open Source Repos After Coldcard Exploit è apparso per la prima volta su Bitcoin Magazine ed è stato scritto da Juan Galt.