Avviso sulla rete Bitcoin: gli sviluppatori trovano quasi 5.000 vulnerabilità

I volontari sviluppatori hanno segnalato 4.962 problemi di sicurezza in 390 progetti Bitcoin in circa 30 ore. Dei 391 codici esaminati, esattamente uno è risultato pulito.

Il gruppo si chiama Bitcoin Red Team. Ha classificato 720 di quelle segnalazioni come alte o critiche. Solo 147 sono arrivate ai manutentori che devono risolverle.

Ogni 1 su 7 segnalazioni è grave

La suddivisione della gravità è più ristretta di quanto suggerisca il totale grezzo. I revisori hanno registrato 85 problemi critici e 635 problemi gravi.

Questo corrisponde al 14,5% di tutto ciò che è stato segnalato. Il resto è suddiviso in categorie media, bassa o informativa. Altre 246 segnalazioni non portano alcuna etichetta di gravità.

La qualità delle prove varia anche. Circa il 21,4% è arrivato con codice di prova di concetto funzionante. Circa il 91% è arrivato tramite scansione automatizzata. I revisori hanno classificato solo otto come falsi positivi.

Seguici su X per ricevere le ultime notizie in tempo reale

Un'ora ha prodotto l'83% delle segnalazioni

Il contesto delle 30 ore necessita di una precisazione. Un'unica ora ha assorbito 4.101 segnalazioni. Quella impennata è stata un recupero, non una scansione in tempo reale. Rob Hamilton, amministratore delegato dell'assicuratore Bitcoin AnchorWatch, ha condotto la sua revisione prima che la campagna iniziasse ufficialmente.

Ha detto di aver speso oltre 10.000 dollari per scansionare più di 100 librerie.

Eliminando il picco, il ritmo cambia drasticamente. Circa 840 segnalazioni sono state ricevute nelle altre 29 ore. Questo è più vicino a 29 all'ora rispetto ai 166,3 pubblicizzati nel rapporto.

I punti dati lontano dai portafogli hardware

La suddivisione per categorie porta una sorpresa. I portafogli hardware e il firmware, il gruppo a cui appartiene Coldcard, si sono classificati al secondo posto più basso per difetti gravi con il 9,6%.

Altri settori hanno fatto peggio. I pool di mining hanno raggiunto il 21,7%, infrastrutture e strumenti il 21,5%, e swap e scambi il 20,9%. Gli strumenti per la privacy hanno dominato la classifica con il 24%, anche se i revisori ne hanno coperti solo tre.

Le librerie crypto hanno invece portato il volume. Hanno prodotto 1.385 risultati su 128 progetti, più di un quarto del corpus.

Calle, il fisico pseudonimo che ha creato il protocollo Cashu ecash, ha detto che i manutentori stanno confermando i peggiori rapporti.

La maggior parte dei rapporti critici che abbiamo redatto finora sono stati rapidamente verificati dai proprietari dei progetti. Sappiamo di colpire obiettivi reali,” hanno scritto.

Perché si è formata la Red Team dopo Coldcard

La verifica è iniziata a causa di un chip rotto. Coinkite ha rivelato il 30 luglio che la generazione di seed sui dispositivi Coldcard interessati è tornata a una routine software prevedibile.

Il deficit era grave. Solo 32 bit provenivano dall'elemento sicuro, limitando la ricerca di un attaccante a circa 4,3 miliardi di tentativi.

Galaxy Research ha stimato i furti confermati a 1.596 Bitcoin (BTC) da circa 7.300 indirizzi il 4 agosto. Un sospetto quarto attacco porterebbe il totale a quasi 130 milioni di dollari. Galaxy sottolinea che la sua lista di indirizzi non è definitiva.

Il panico è emerso sulla catena, dove gli indirizzi attivi sono aumentati a un massimo di 20 mesi. I detentori coreani sono in gran parte sfuggiti perché i semi basati su dadi sono comuni lì.

Tuttavia, la debole casualità continua a tornare in Bitcoin. Il bug Milk Sad del 2023 ha generato chiavi per Libbitcoin Explorer da 32 bit di tempo di clock. A maggio, la vulnerabilità Ill Bloom ha drenato 5,7 milioni di dollari da portafogli costruiti su un generatore JavaScript debole.

Il finanziamento segue i risultati

OpenSats, un'organizzazione no-profit che finanzia lo sviluppo di Bitcoin, ha lanciato giovedì un programma di sovvenzioni Code RED. Paga i ricercatori che segnalano difetti. Rimborsa anche le spese per l'intelligenza artificiale (AI) sostenute dal lavoro.

Nel frattempo, Bitcoin è stato scambiato vicino a 64.396 dollari giovedì, in aumento dello 0,5% nelle ultime 24 ore. L'audit non ha mosso il mercato.

Il contesto è ancora importante per il numero grezzo. Questi sono risultati, non exploit confermati, e la maggior parte non sarà mai armata.

Dalle prove finora, però, Coldcard non è stato un fallimento isolato. I dati suggeriscono anche che il prossimo non sarà un portafoglio hardware.

Fonte: BeInCrypto