Auditoría de seguridad con IA en Bitcoin descubre 85 vulnerabilidades críticas en 390 repositorios » CoinEagle

Puntos clave

• Bitcoin Red Team detectó 85 fallos críticos en 390 repositorios en 27,5 horas.
• La auditoría se realizó tras el exploit al generador de números aleatorios de Coldcard, que provocó pérdidas de más de 100 millones de dólares.

Una iniciativa voluntaria llamada Bitcoin Red Team informó sobre miles de vulnerabilidades en repositorios open-source de Bitcoin durante su primer día de revisión coordinada.

El grupo, liderado por el desarrollador Calle y Rob Hamilton, CEO de AnchorWatch, registró 4.962 hallazgos en 27,5 horas, incluyendo 85 problemas críticos y 635 de alta severidad.

Más de 40.000 dólares en recursos computacionales de inteligencia artificial financiaron el esfuerzo, con apoyo económico de OpenSats, una organización sin fines de lucro que apoya el desarrollo open-source de Bitcoin.

La auditoría siguió a un importante incidente de seguridad relacionado con una falla en el generador de números aleatorios de las wallets hardware Coldcard, que resultó en más de 100 millones de dólares en pérdidas confirmadas.

Alcance de la revisión de seguridad impulsada por IA

El Red Team creó un entorno de revisión que abarcó 171.599 líneas de código para identificar librerías fundamentales de software de Bitcoin y documentar vulnerabilidades reproducibles.

Según las actualizaciones del proyecto, el 21,4% de los hallazgos han logrado ser reproducidos exitosamente hasta el momento.

Calle afirmó que el ritmo de hallazgos promedió aproximadamente una explotación crítica por hora por cada colaborador en la fase inicial.

El equipo implementó múltiples modelos de inteligencia artificial, incluidos Kimi K3, GPT Sol, Fable, Opus y GLM5.2, para escanear repositorios y generar informes estructurados para los responsables del mantenimiento.

Las primeras restricciones de acceso a ciertos sistemas de IA basados en Estados Unidos llevaron al equipo a depender más de modelos open-source chinos hasta que se restableció un acceso más amplio.

Hamilton indicó que se espera que el entorno de revisión se vuelva open-source, permitiendo a las empresas testear bases de código de Bitcoin tanto open- como closed-source.

Incidente de Coldcard y respuesta de la industria

La iniciativa se lanzó luego de que atacantes explotaran una falla en la implementación del generador de números aleatorios de Coldcard, que afectó dispositivos MK3+ y permitió el retiro de fondos.

La investigación identificó al menos 15 atacantes distintos que aprovecharon la vulnerabilidad antes de que se lanzara el firmware corregido.

Usuarios que aún no hayan migrado sus fondos a wallets generadas bajo el firmware actualizado pueden seguir estando expuestos.

Boltz exchange anunció una pausa temporal en ciertas operaciones mientras exchanges y proveedores de servicios evalúan las potenciales vulnerabilidades detectadas con IA en el marco del entorno posterior al incidente.