Bitcoin Red Teamとして知られる草の根的なセキュリティイニシアチブが、約390のオープンソースBitcoin関連プロジェクトをスキャンする急速監査スプリントを完了し、4,962件のセキュリティ調査結果を提出しました。チームによると、その内訳は85件の重大（クリティカル）脆弱性と635件の高深刻度脆弱性です。

この30時間にわたる取り組みは16名のボランティアによって実施され、Coldcardハードウェアウォレットのファームウェア脆弱性への直接的な対応として組織されました。同デバイスの乱数生成器に潜んでいたその欠陥は、7000万ドルから1億1400万ドル相当のBitcoin盗難被害をもたらしたと推定されています。この脆弱性は、プライベートキーを生成するコンポーネントが侵害されたことを意味し、攻撃者がそれらのキーを予測できる可能性がありました。Coldcardウォレットはセルフカストディを求めるBitcoin保有者の間で広く利用されており、この事象は、ユーザー自身が損失に対する最終防衛線となるエコシステムにおいて、単一ベンダーのハードウェアセキュリティに対する長年の懸念を改めて浮き彫りにしました。

発足と組織体制

Coldcardの被害規模は、著名なBitcoin開発者であるCalleとAnchorWatchCEOのRob Hamiltonの関心を引き付けました。両氏は協力して2026年7月下旬から8月上旬にかけてRed Teamキャンペーンを組織し、ボランティアを集結させ、オープンソースBitcoin助成団体であるOpenSatsから資金調達を行いました。イニシアチブの総支出は40,000ドルを超えました。

AIを活用したスキャン

チームはスキャンプロセスを加速させるため、オープンウェイトのAIモデルを活用しました。ツールキットには、Kimi K3、GPT Sol、Fable、Opus、GLM5.2が含まれ、それぞれが迅速な脆弱性発見を目的として特注されたセキュリティハーネスを通じてデプロイされました。チームはこのハーネスをオープンソース化する計画であり、Bitcoin以外の他のオープンソースエコシステムでも同様のコミュニティ主導型監査が可能になるとしています。

約30時間のスプリントに参加した16名のボランティア全体で、チームは1人時あたり約2.31件の高深刻度または重大な調査結果を平均して発見しました。

検証と責任ある開示

報告時点で、独立して再現された調査結果は約21.4%のみでした。チームは結果をプロジェクトメンテナーに直接提出し、責任ある開示のパイプラインを構築しました。この段階での比較的低い再現率は、AI支援スキャンを大規模に実施する際の速度と確実性の間に内在する緊張関係を反映しており、報告された調査結果の相当部分は、実行可能な脆弱性として確認される前にさらなる手動検証を要することを意味します。

このイニシアチブの契機となったColdcardのエクスプロイトは、セルフカストディの最先端ソリューションとして販売されるデバイスにおける単一のファームウェアバグが、いかに多大な経済的損失をもたらし得るかを浮き彫りにしました。Bitcoin Red Teamの調査結果は、オープンソースBitcoinエコシステム全体の脆弱性を特定する上で、コミュニティ主導かつAI支援によるセキュリティ監査が果たす役割を強調しています。また、チームが構築したオープンソースのハーネスと開示パイプラインは、今後の協調的なセキュリティ取り組みにおいて再利用可能なモデルとなる可能性があります。