Un'iniziativa di sicurezza di base nota come Bitcoin Red Team ha completato uno sprint di audit rapido che ha analizzato circa 390 progetti open-source legati a Bitcoin, producendo 4.962 risultati di sicurezza. I risultati includono 85 vulnerabilità critiche e 635 ad alta gravità, secondo il team.

Lo sforzo di 30 ore, portato avanti da 16 volontari, è stato organizzato in risposta diretta a una vulnerabilità del firmware nei portafogli hardware Coldcard. Tale difetto, individuato nel generatore di numeri casuali del dispositivo, è stato stimato aver causato perdite tra 70 e 114 milioni di dollari in Bitcoin rubati. La vulnerabilità significava che il componente responsabile della generazione delle chiavi private era compromesso, consentendo potenzialmente agli aggressori di prevedere tali chiavi. I portafogli Coldcard sono ampiamente utilizzati tra chi detiene Bitcoin in cerca di autocustodia, e l'incidente ha rafforzato le preoccupazioni di lungo periodo sulla sicurezza hardware a fornitore unico in un ecosistema in cui gli utenti rappresentano la loro ultima linea di difesa contro le perdite.

Origine e organizzazione

L'entità delle perdite di Coldcard ha attirato l'attenzione di Calle, un noto sviluppatore Bitcoin, e di Rob Hamilton, amministratore delegato di AnchorWatch. Insieme, hanno organizzato la campagna del Red Team tra la fine di luglio e l'inizio di agosto 2026, riunendo volontari e ottenendo finanziamenti da OpenSats, un'organizzazione che eroga sovvenzioni per progetti Bitcoin open-source. Le spese totali per l'iniziativa hanno superato i 40.000 dollari.

Scansione basata sull'IA

Il team ha utilizzato modelli di IA open-weight per accelerare il processo di scansione. Il set di strumenti includeva Kimi K3, GPT Sol, Fable, Opus e GLM5.2, ciascuno distribuito tramite un sistema di sicurezza personalizzato progettato per la scoperta rapida di vulnerabilità. Il team ha dichiarato di pianificare il rilascio open-source del sistema, il che potrebbe consentire audit simili guidati dalla comunità in altri ecosistemi open-source oltre a Bitcoin.

Tra i 16 volontari che hanno lavorato durante lo sprint di circa 30 ore, il team ha ottenuto in media circa 2,31 risultati critici o ad alta gravità per ora-persona.

Verifica e divulgazione responsabile

Al momento della stesura dell'articolo, solo circa il 21,4% dei risultati era stato riprodotto in modo indipendente. Il team ha inviato i risultati direttamente ai manutentori dei progetti, stabilendo un processo per la divulgazione responsabile. Il tasso di riproduzione relativamente basso in questa fase riflette la tensione intrinseca tra velocità e certezza quando si utilizza la scansione assistita dall'IA su larga scala, e significa che una parte sostanziale dei risultati segnalati richiederà ulteriore validazione manuale prima di poter essere confermata come vulnerabilità azionabili.

L'exploit di Coldcard che ha promosso l'iniziativa ha dimostrato come un singolo bug del firmware in un dispositivo commercializzato come soluzione leader per l'autocustodia possa tradursi in perdite finanziarie significative. I risultati del Bitcoin Red Team evidenziano il ruolo degli audit di sicurezza guidati dalla comunità e assistiti dall'IA nell'individuazione di vulnerabilità nell'ecosistema Bitcoin open-source, mentre il sistema open-source e il processo di divulgazione costruiti dal team potrebbero servire come modello riutilizzabile per futuri sforzi di sicurezza coordinati.