Inicjatywa Bitcoin Red Team zbudowana wokół Kimi K3 — modelu klasy frontier od pekińskiego laboratorium AI Moonshot AI — zakończyła kompleksowe badanie bezpieczeństwa ekosystemu open-source Bitcoina, ujawniając tysiące potencjalnych podatności w stosie oprogramowania wspierającym tę sieć.

W ciągu dwóch tygodni badacze skatalogowali 7,958 ustaleń obejmujących około 390 projektów, z czego 1,280 sklasyfikowano jako o wysokiej lub krytycznej wadze. Zespół określił to przedsięwzięcie jako zderzenie dekad nagromadzonego, pisanego przez ludzi kodu open-source z analityczną szybkością nowoczesnego modelu AI klasy frontier, zaznaczając, że znaczna część najłatwiej dostępnej powierzchni podatności została już zbadana.

Niezależne oceny Brytyjskiego Instytutu Bezpieczeństwa AI (U.K. AI Security Institute) oraz amerykańskiego Center for AI Security Standards and Innovation (CAISI) — rządowych instytutów oceniających modele AI klasy frontier — potwierdziły przydatność modelu do prac nad cyberbezpieczeństwem, zauważając jednocześnie, że wciąż ustępuje on najmocniejszym zamkniętym modelom amerykańskim w niektórych testach porównawczych dotyczących tworzenia exploitów.

Kampania przyniosła już konkretnie zweryfikowane rezultaty. BTCPay Server — szeroko używany, samodzielnie hostowany procesor płatności open-source, pozwalający sprzedawcom przyjmować Bitcoiny bez pośrednika trzeciej strony — załatał krytyczną lukę umożliwiającą ominięcie uwierzytelniania dwuskładnikowego w wersji 2.4.2 po ujawnieniu jej przez badaczy, a następnie potwierdził, że atakujący wykorzystali ją już wcześniej do wydobycia danych uwierzytelniających portfeli Lightning. Kolejne skoordynowane wydania nastąpiły w miarę przetwarzania przez projekt dalszych zgłoszeń od wielu grup badawczych.

Liczby wymagają ostrożnej interpretacji

Liczby wymagają jednak kontekstu. W chwili publikacji około jedna czwarta wszystkich problemów została odtworzona dynamicznie, a nieco mniej niż 30% zgłoszono opiekunom projektów nadrzędnych. Zbiór danych nie reprezentuje 7,958 potwierdzonych, możliwych do wykorzystania podatności: automatyczne skanowanie może generować fałszywie pozytywne wyniki i zdublowane raporty, a wstępne oceny wagi często zmieniają się podczas ręcznej weryfikacji.

Badacze podkreślali, że badanie objęło szerszy ekosystem portfeli, infrastruktury Lightning, bibliotek płatności i pokrewnych narzędzi, a nie sam podstawowy protokół konsensusu Bitcoina. Lightning — płatnościowa sieć drugiej warstwy zbudowana na Bitcoinie — dodaje logikę zarządzania kanałami i routingu, która mieści się poza regułami konsensusu protokołu podstawowego. Podatności koncentrowały się szczególnie w starszych lub słabo recenzowanych bazach kodu, przy czym stos sieci Lightning opisywano jako stawiający nieproporcjonalnie dużą złożoność i ekspozycję w porównaniu z innymi komponentami. Powszechność implementacji opartych na języku C wskazano również jako trwały strukturalny czynnik ryzyka wśród badanych projektów, co odzwierciedla od dawna obecne w branży zaniepokojenie: błędy bezpieczeństwa pamięci w kodzie C należą do najczęstszych źródeł krytycznych podatności — przekonanie, które napędza rosnące wykorzystywanie języków bezpiecznych pamięciowo, takich jak Rust, w oprogramowaniu wrażliwym na bezpieczeństwo.

Jeden z uczestników inicjatywy, publikujący na X jako calle, opisał tę dynamikę:

gained a ton of new insights working in bitcoin red team that i wish i could share without vague posting. but this is what i got anon. – we're experiencing a massive collision between decades of human open source slop against 2 weeks of kimi k3 (not good) – everything is…

— calle (@callebtc), August 13, 2026

Ekosystem ściga się z adaptacją, podczas gdy AI przedefiniowuje ramy czasowe bezpieczeństwa

Kampania sygnalizuje szerszy punkt zwrotny w cyberbezpieczeństwie open-source. Modele AI klasy frontier drastycznie skompresowały koszt i czas wykrywania podatności, umożliwiając przegląd wieloletnio nagromadzonego kodu w ciągu kilku tygodni. To przyspieszenie stwarza ostre ryzyko dla projektów pozbawionych opieki, w których starszy kod stoi teraz w obliczu zwiększonej ekspozycji, ponieważ możliwości ofensywne stają się dostępne dla szerszego grona podmiotów.

Organizatorzy podkreślali, że szybkość reagowania na ujawnione problemy stała się krytycznym wskaźnikiem kondycji projektu, i zalecali zespołom deweloperskim budowanie ciągłych, wspieranych przez AI potoków audytowych zamiast polegania wyłącznie na okresowych przeglądach zewnętrznych. Zwrócili też uwagę na znaczenie skoordynowanego ujawniania — utrwalonej praktyki prywatnego zgłaszania błędów opiekunom i pozostawiania czasu na poprawki przed publikacją — zauważając, że zaufanie między badaczami a opiekunami pozostaje kluczowe dla skutecznej współpracy w zakresie bezpieczeństwa.

Ekosystem mobilizuje się, aby zapobiec pogłębianiu się luki kompetencyjnej między atakującymi a obrońcami. OpenSats — organizacja non-profit finansująca wolny i otwartoźródłowy rozwój Bitcoina — utworzyła przyspieszoną ścieżkę grantową przeznaczoną do refundowania badaczom kosztów dużych modeli językowych, obniżając barierę dla trwałych prac nad bezpieczeństwem wspieranych przez AI. Osobno koalicja ponad 40 organizacji bitcoinowych i związanych z aktywami cyfrowymi zwróciła się do czołowych laboratoriów AI o zapewnienie sprawdzonym obrońcom open-source kontrolowanego dostępu do modeli klasy frontier w bezpiecznych środowiskach badawczych, wraz z wystarczającą mocą obliczeniową i bezpośrednimi kanałami komunikacji z zespołami bezpieczeństwa AI. Koalicja ostrzegła, że bez porównywalnych narzędzi legalnym obrońcom grozi pozostawanie w tyle za złośliwymi podmiotami, na które nie nakładają się takie ograniczenia dostępu.

Sympatycy BTCPay wsparli również działania naprawcze i zobowiązali się do finansowania inicjatywy Bitcoin Red Team, co odzwierciedla rosnące przekonanie, że zewnętrzny przegląd bezpieczeństwa jest trwałym, a nie przejściowym zapotrzebowaniem ekosystemu.

Dla zwykłych użytkowników bezpośredni wniosek jest węższy, niż sugerują liczby z nagłówków: podstawowy protokół Bitcoina nie okazał się naruszony, ale otaczająca go infrastruktura oprogramowania wymaga zwiększonej czujności, począwszy od utrzymywania aktualności oprogramowania portfeli i serwerów. W miarę skalowania się automatycznego wykrywania centralne wąskie gardło bezpieczeństwa kryptowalut przesuwa się ze znajdowania błędów na ich weryfikowanie, ujawnianie i łatanie w tempie odpowiadającym szybkości współczesnego AI. Konkretne wskaźniki do obserwowania wynikają z samych liczb kampanii: jaka część około 70% ustaleń, których jeszcze nie zgłoszono projektom nadrzędnym, dotrze do opiekunów, czy laboratoria AI przyznają wnioskowany dostęp dla obrońców oraz jak szybko projekty takie jak BTCPay Server przekształcą kolejne ujawnienia w załatane wydania.

Źródło: Metaverse Post