Bitcoin Magazineは、1億ドル超の被害につながったColdcardハードウェアウォレットの最近の壊滅的な脆弱性を受け、Bitcoinコミュニティのメンバーが、業界全体で使われるオープンソースソフトウェアにおける同様の重大なバグを防ぐ取り組みを強化していると報じている。

PSA: secure firmwareで生成された新しいシードへbitcoinを移していないColdcardウォレットの利用者は、依然として危険にさらされている。まだ対処が間に合う可能性があるため、この件に関する勧告を参照してほしい。

ソフトウェアエンジニアであり、熱心なvibe coderであり、BitchatのAndroid版の開発者でもあるCalleと、Bitcoinのセルフカストディ保険会社AnchorwatchのCEOであるRob Hamiltonが率いるBitcoin Red Teamは、資金を確保し、Bitcoin全体にわたる390以上のオープンソースリポジトリを監査するためにAIトークンへ4万ドル超を費やした。この取り組みは、広く使われている1つの製品で起きたセキュリティ事故が、ソフトウェアライブラリやツールが複数のプロジェクトで再利用されている広範なエコシステムにいかに急速に波及しうるかを示している。

通称「Bitcoin Red Team」として知られ、Rob HamiltonとCalleがBitcoinのCEOとCTOになるというミームも広がるなか、このAI駆動のセキュリティ監査は業界全体の注目を集めている。RNGバグに関連するMK3+ Coldcardからのbitcoin流出が続く中、Boltz exchangeはAI駆動のハッキング試みに追いつくため運用を一時停止すると発表した。

「開始から27.5時間で、390プロジェクトにまたがって4,962件の指摘を提出した。重大が85件、高深刻度が635件。1人1時間あたりの指摘数は2.31 h+cだ」と、Calleは業界のサイバーセキュリティを強化するRed Teamの最新更新で述べた。

このセキュリティレビューでは、Kimi K3、GPT Sol、Fable、Opus、GLM5.2など、最も高価で最先端とされるモデルが使われている。最初はOpenAIとAnthropicのモデルへのアクセスが限られていたため、中国のオープンソースモデルへの依存が強まり、業界の多くはこれを懸念し、米国のAI優位性にとって悪い兆候と見なした。しかし、先週のColdcardハック以降にRed Teamプロジェクトの影響力が増すなか、OpenAIとの接続が確立・確認され、チームはGPT Solにアクセスできるようになった。Hamiltonが8月4日のツイートでFableに言及したことは、Anthropicへのアクセスも確立されたことを示唆している。

直近で4万ドル超と見積もられていた費用は、オープンソースのBitcoin開発プロジェクトへの資金提供を目的とする非営利501(c)(3)組織OpenSatsが負担している。Bitcoin Red Teamには現時点でリンク先となるウェブサイトやGitHubリポジトリはないが、Bitcoin業界の多くの個人で構成されている。支援に対して公に謝意を示された人物には、danielabrozzoni、lylepratt、stutxo、benthecarman、thesimplekid などが含まれるが、これらに限られない。

Hamiltonは、独自のハーネスが構築され、急速に進化していると述べた。ある時点では171,599行のコードで構成されていたこのハーネスは、重要なBitcoinソフトウェアライブラリや高負荷のコードを特定・テストし、脆弱性を特定して文書化し、再現し、検証済みデータを有用なレポートにまとめ、業界のエンジニアへ責任ある形で提供するよう設計されている。Hamiltonはまた、Bitcoin企業がクローズドソースのコードに対してこのハーネスを実行できるよう、Red Teamはこれをオープンソース化する意向だと述べた。

Red Teamは、重大な脆弱性を発見した関連オープンソースプロジェクトへ積極的に連絡しており、HamiltonやCalleからの冷たいダイレクトメッセージを受け取ると業界のエンジニアに広がる強い不安は、ソーシャルメディアで共有されたさまざまなユーモラスなスクリーンショットにも表れている。https://x.com/callebtc/status/2085035257477190080

このAI駆動のセキュリティ更新がBitcoin FOSS全体で進むなか、Red Teamが公に共有した重要な示唆の1つとして、Hamiltonは、特定分野の知識を持つエンジニアは、システムが「何かがおかしい」と察知できてもニッチな文脈を欠いている場合に、Harnessから高価値な結果を引き出せることがあると述べた。これは、重大な脆弱性を効率よく特定するために、人間の知性と経験がAIと並走する重要性を示している。

Hamiltonはまた、Coldcardハック後の数日間にわたるRed Teamの活動を締めくくるにあたり、個人的な所感を述べた。彼は、Coldcardの乱数生成器に見つかった脆弱性と、それをハッカーが悪用したことを、Bitcoinと業界のセルフカストディの理念に対する「spiritual attack」だと述べ、「その言葉を文字どおりの意味で言っている」と付け加えた。今回の歴史的なハックで多くのBitcoinユーザーが被った損失への悲しみを表明した後、Hamiltonは強い決意を示してツイートを締めくくった。「今は簡単な状況ではない。しかし、Bitcoinという理念と技術は戦う価値があると、これまでの人生で最も強く確信している。そのために。セルフカストディのないBitcoinは存在しない。これは交渉の余地がない」。

この記事はBitcoin Magazineに最初に掲載され、Juan Galtが執筆した。