Bitcoin Magazine
Il Bitcoin Red Team trova 85 vulnerabilità critiche in 390 repository open source dopo l'exploit di Coldcard
Ribaltata dalla recente e catastrofica vulnerabilità nei portafogli hardware Coldcard, sfruttata per oltre 100 milioni di dollari, la comunità Bitcoin si è mobilitata per prevenire futuri bug critici nel software open source dell'industria.
PSA: Gli utenti di portafogli Coldcard che non hanno migrato il loro bitcoin verso nuovi seed generati in firmware sicuri sono ancora a rischio. Potrebbe non essere troppo tardi per agire; vedere l'avviso in merito.
Guidato da Calle, ingegnere del software, appassionato coder e creatore della versione Android di Bitchat, e Rob Hamilton, CEO di Anchorwatch, una compagnia di assicurazione per la custodia autonoma di Bitcoin, il Bitcoin Red Team ha ora ottenuto finanziamenti, con oltre 40.000 dollari spesi in token AI per auditare oltre 390 repository open source in Bitcoin.
Colloquialmente chiamato “Bitcoin Red Team”, con meme su Rob Hamilton e Calle ora CEO e CTO di Bitcoin, questo audit di sicurezza guidato dall'AI sta avendo un impatto serio sull'industria. Solo pochi giorni fa, sepolto nelle notizie di furti in corso di bitcoin da MK3+ Coldcards a causa di un bug RNG, l'exchange Boltz ha annunciato che avrebbe sospeso le operazioni per recuperare dai tentativi di hacking guidati dall'AI.
“Dopo 27,5 ore, abbiamo registrato 4.962 risultati in 390 progetti. 85 problemi critici e 635 problemi di alta gravità. Siamo a 2,31 risultati h+c per persona all'ora,” ha detto Calle nell'aggiornamento più recente sugli sforzi del Red Team per rafforzare la cybersecurity dell'industria.
Lo sforzo di revisione della sicurezza del Red Team sta utilizzando modelli come Kimi K3, GPT Sol, Fable, Opus e GLM5.2, alcuni dei modelli più costosi e all'avanguardia sul mercato. Inizialmente, l'accesso ai modelli di OpenAI e Anthropic era limitato, portando a una dipendenza eccessiva dai modelli open-source cinesi, un fatto che molti nell'industria hanno lamentato e visto come un cattivo presagio per il dominio dell'IA negli Stati Uniti. Ma man mano che il progetto del Red Team cresceva in influenza dopo l'hack di Coldcard della settimana scorsa, sono state stabilite e confermate connessioni con OpenAI, dando al Red Team accesso a GPT Sol. Il riferimento di Hamilton a Fable nel suo tweet del 4 agosto suggerisce che è stato stabilito anche l'accesso ad Anthropic.
Le spese, che sono state contabilizzate per oltre $40.000, sono state coperte da OpenSats, un'organizzazione no-profit 501c3 dedicata a finanziare progetti di sviluppo open source per Bitcoin. Il Bitcoin Red Team attualmente non ha un sito web o un repository GitHub a cui collegarsi, ma il team è composto da molti individui all'interno dell'industria Bitcoin. Gli individui pubblicamente ringraziati per il loro supporto includono, ma non si limitano a, danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.
Hamilton ha condiviso che è stato costruito un harness personalizzato che sta evolvendo rapidamente. Composto in un certo momento da 171.599 righe di codice, l'harness è progettato per identificare e testare librerie software Bitcoin critiche e codice ad alta capacità di carico, identificare e documentare vulnerabilità, riprodurle e confezionare i dati provati in rapporti utili. Consegnando infine le informazioni in modo responsabile agli ingegneri del settore. Hamilton ha anche condiviso che il Red Team intende rendere open source l'harness in modo che le aziende Bitcoin possano eseguirlo contro il loro codice closed-source.
Il Red Team sta attivamente contattando progetti open source rilevanti con vulnerabilità critiche scoperte, portando a un ampio senso di paura tra gli ingegneri del settore quando ricevono messaggi diretti freddi da Hamilton o Calle, come visto in vari screenshot umoristici condivisi sui social media.
Tra le principali intuizioni condivise pubblicamente dal Red Team mentre si svolge questo aggiornamento di sicurezza guidato dall'IA del Bitcoin FOSS, Hamilton ha condiviso che gli ingegneri con specifiche competenze potrebbero talvolta ottenere risultati di alto valore dall'Harness, che altrimenti potrebbe 'fiutare che qualcosa non va', ma potrebbe mancare di contesto di nicchia. Un'intuizione che parla dell'importanza di avere intelligenza e esperienza umana che lavorano a braccetto con l'IA per identificare in modo efficiente vulnerabilità critiche.
Hamilton ha anche concluso uno sforzo del Red Team di più giorni dopo l'hack di Coldcard con alcune note personali. Ha detto che la vulnerabilità scoperta nei generatori di numeri casuali di Coldcard e la conseguente sfruttamento del bug da parte degli hacker era stato un “attacco spirituale” a Bitcoin e all'etica della custodia personale dell'industria, “intendo questo nel senso letterale delle parole”. Dopo aver espresso dolore per le perdite subite da molti Bitcoiners durante questo hack ora storico, Hamilton ha chiuso il suo tweet con un tono di risoluzione indurita:
“Anche se le cose non sono facili in questo momento. Ho la massima convinzione mai avuta nella mia vita che l'idea e la tecnologia di Bitcoin valgono la pena di essere difese. A tal fine. Non c'è Bitcoin senza custodia personale. Questo è non negoziabile.”
Questo post Bitcoin Red Team Trova 85 Difetti Critici in 390 Repos Open Source Dopo l'Exploit di Coldcard è apparso per la prima volta su Bitcoin Magazine ed è scritto da Juan Galt.
Fonte: BitcoinMagazine
