「Bitcoin Red Team」を名乗るボランティアグループが、約30時間にわたり390のBitcoinプロジェクトに対し4,962件のセキュリティ調査結果を報告した。同グループはこれをAIエージェントが大部分を担う「大規模エコシステム監査」と位置付けている。この取り組みは、一般的な暗号通貨セキュリティレビューを遥かに凌駕する規模である。通常、セキュリティレビューはTrail of Bits、Cure53、Halbornなどの企業から単一プロジェクトが依頼し、数週間から数か月かけて特定のコードベースを対象に実施されるものであり、数百のリポジトリを1日で横断的に調査するものではない。

Bitcoin ecashプロトコル「Cashu」の開発者である仮名のcalleは、水曜日にキャンペーンの最初の状況報告を公開した。報告書では85件の発見事項が「クリティカル」、635件が「高」の重大度に分類されており、合わせて全体の14.5%を占めている。これはプロジェクトあたり平均1.85件の深刻な問題に相当し、1時間あたり166件のペースで報告されている。calleは、チームが昼夜を問わず稼働する16人に拡大したと述べ、報告書には合計17人の貢献者が記録されている：14人が人間、3人が自動化エージェントである。

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7 We're running a large-scale ecosystem security audit across bitcoin code bases. 27.5 hours in, we've filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues. We're at… pic.twitter.com/iRCylprbY1 — calle (@callebtc) August 5, 2026

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7

We're running a large-scale ecosystem security audit across bitcoin code bases.

27.5 hours in, we've filed 4,962 findings across 390 projects.

85 critical and 635 high severity issues.

We're at… pic.twitter.com/iRCylprbY1

— calle (@callebtc) August 5, 2026

calleは、作業の多くは依然として手動であり「AIを手引きする」必要があると記したが、自動化ハーネスは改善されている。報告書によると、91%の調査結果は自動スキャン取り込みによって捕捉された。各貢献者が自身の好むレビュー手法を使用できるようにすることは「最も効果的な戦略であることが証明された」とcalleは述べた。貢献者はそれぞれ異なる方法でエージェントにプロンプトを与え、異なるバグを発見するからだ。約21%の調査結果は概念実証コードによって動的に再現されている。AI支援によるコード分析はソフトウェア開発ワークフローにおいて日益一般的になっているが、暗号通貨エコシステム全体への体系的な適用とそれに伴う大量の情報開示は、プロジェクトごとの協調的な責任ある開示に依存してきたこれまでの慣行に圧力をかけている。

カテゴリ別の重大度分布

重大度の分布はプロジェクトカテゴリによって大きく異なる。プライバシーおよびコインジョイントールが「高」または「クリティカル」の調査結果で最も高い割合の24%を占め、以下、スワップおよび取引所が21%、決済およびマーチャントツールが17%と続いた。暗号ライブラリおよびSDKは1,101件で最大の絶対数を記録したが、「高」の重大度基準を満たしたのはわずか10%であった。

圧力に直面するメンテナー

現在までに上流の開示を受けたプロジェクトはわずか19件、レビュー対象の5%未満にすぎない。calleは、このキャンペーンがメンテナーにとってすでに困難な状況にさらなる負担を加えていることを認めた。多くのメンテナーは、少人数の貢献者ベースと限られた専用セキュリティ予算でコードベースを管理しており、これはオープンソースの暗号通貨インフラ全体で長年指摘されてきた構造的課題である。

「私たちの報告が、すでにストレスの多い日々にさらなる負担をかけた場合は真摯に申し訳ありません」と彼は記した。調査結果は迅速に公開されるべきだと彼は主張した。プロジェクトの所有者が検証に最も適した立場にあり、AIの支援により検証は現在ほぼ無料で行えるため、そして同じツールを導入する他の誰もが同じ結論に至るためである。8件の調査結果は誤検知として除外された。残り95%のプロジェクトにおける未開示の調査結果のバックログは、トリアージのタイムラインや、メンテナーが第三者が独自に同じ結果を再現する前にこの量を吸収できるかどうかという実践的な問題を提起している。

Coldcardの背景

このキャンペーンは、Bitcoinのセキュリティ前提が厳しい精査にさらされている時期に展開されている。CoinkiteのColdcardウォレットは、2021年3月のファームウェアビルドがデバイスのハードウェア乱数ジェネレーターではなくソフトウェアのフォールバックからウォレットシードを生成したことで、秘密鍵が推測可能となり、ユーザーに約1億3,000万ドルの損失をもたらした。同社は事後分析の中で、「誰かがAIを使用して以前のバージョンのファームウェアをレビューした可能性が高い」と記した。

Ledgerの最高技術責任者であるCharles Guillemetは火曜日、Decryptの取材に対しこの事件は、暗号通貨コードの脆弱性を特定するためにAIが「マシンスピードで」使用されていることを示していると述べた。「オープンソースであることとレビューされていることは同じではない」と彼は付け加え、Coldcardの欠陥が公のコード内に5年以上存在し、攻撃者がAIを活用して発見するまで放置されていたことを指摘した。防御は攻撃者と同じ速度で動く必要があると彼は主張した。Bitcoin Red Teamのようなグループがまさにそれを実証している。