Principales conclusiones
- Bitcoin Core acelera las correcciones para vulnerabilidades fácilmente detectables
- Los investigadores de IA detectaron 4,962 problemas en proyectos de bitcoin
- Los desarrolladores enfrentan nuevos compromisos entre velocidad y pruebas
Los desarrolladores de Bitcoin Core han modificado sus reglas de seguridad después de que herramientas de inteligencia artificial ayudaran a investigadores a identificar miles de vulnerabilidades potenciales en todo el ecosistema de Bitcoin, generando preocupaciones de que los métodos tradicionales para mantener en secreto los defectos del software están volviéndose menos efectivos.
La actualización de la política, fusionada el 22 de octubre, introduce una divulgación y corrección más rápidas para vulnerabilidades que pueden descubrirse con un esfuerzo mínimo, incluyendo mediante una simple solicitud de IA.
Según la política oficial de seguridad de Bitcoin Core, los desarrolladores ahora lanzarán correcciones para estas vulnerabilidades fácilmente detectables en las versiones de software mantenidas sin esperar los largos períodos de embargo que anteriormente se aplicaban.
Por qué Bitcoin Core está abandonando las restricciones de seguridad prolongadas
Bitcoin Core ha retrasado tradicionalmente la divulgación pública de ciertas vulnerabilidades para dar a los operadores de nodos tiempo para actualizar antes de que los atacantes aprendan cómo explotarlas.
Las fallas de severidad media y alta podrían permanecer sin divulgar durante aproximadamente un año, dependiendo de cuándo las versiones afectadas del software alcanzaron el final de sus periodos de soporte.
Sin embargo, la inteligencia artificial está cambiando ese cálculo.
El contribuyente de Bitcoin Core Antoine Poinsot explicó en un anuncio de desarrolladores del 22 de octubre que los modelos de lenguaje grandes han hecho que algunas fallas de seguridad sean significativamente más fáciles de identificar o redescubrir de forma independiente.
Bajo el enfoque revisado, los desarrolladores pueden clasificar una vulnerabilidad como fácilmente detectable, distribuir correcciones a cada versión principal mantenida y publicar un aviso de seguridad junto con las actualizaciones.
La propuesta de GitHub se envió el 16 de octubre y se fusionó seis días después.
Otras vulnerabilidades continuarán siguiendo los calendarios de divulgación basados en la gravedad, mientras que los problemas críticos de seguridad de la red de bitcoin requieren manejo individual.
La variación sigue a debates anteriores sobre actualizaciones de Bitcoin Core, donde los desarrolladores han equilibrado nuevas funcionalidades con seguridad y estabilidad de la red.
La revisión de seguridad con IA detecta casi 5,000 posibles errores de bitcoin
La urgencia se hizo evidente durante una revisión de seguridad amplia asistida por IA a principios de este año.
En aproximadamente 30 horas, un equipo voluntario de Bitcoin Red Team compuesto por 16 desarrolladores examinó 390 proyectos de software relacionados con bitcoin.
Los investigadores informaron 4,962 posibles problemas de seguridad, incluyendo 85 inicialmente clasificados como críticos y 635 como de alta gravedad.
Coinpaper documentó previamente los hallazgos del equipo rojo de Bitcoin, que demostraron cómo el análisis automatizado podría generar un gran número de informes de vulnerabilidades en un período sorprendentemente corto.
Sin embargo, los números requieren una distinción importante.
Estos fueron hallazgos en cientos de proyectos relacionados con bitcoin, no vulnerabilidades confirmadas en Bitcoin Core en sí. Muchos requerían verificación adicional, y las clasificaciones eran provisionales.
Algunas vulnerabilidades identificadas a través del esfuerzo de seguridad general fueron sin embargo graves.
En agosto, el procesador de pagos BTCPay Server enfrentó una vulnerabilidad activamente explotada que expuso credenciales asociadas con nodos de la Lightning Network.
El incidente obligó a una respuesta de seguridad de emergencia, incluyendo restricciones al acceso remoto a Lightning.
Otro proveedor de infraestructura de bitcoin, Boltz, desactivó temporalmente los servicios de intercambio tras reportar ataques automatizados que involucran técnicas asistidas por IA.
¿Podrían las actualizaciones más rápidas de seguridad de bitcoin introducir nuevos riesgos?
Las reglas de divulgación revisadas pueden ayudar a los operadores de nodos a recibir correcciones importantes antes, pero los lanzamientos acelerados generan sus propios desafíos.
Poinsot reconoció que los parches distribuidos rápidamente pueden recibir menos pruebas antes de llegar a los usuarios.
Los desarrolladores también debatieron si algunos avisos de seguridad deberían mantenerse privados hasta que estuvieran disponibles protecciones adicionales.
El enfoque final favorece publicar un aviso junto con una corrección acelerada para las vulnerabilidades consideradas fáciles de volver a descubrir, en lugar de emitir advertencias sin una actualización disponible.
Las preocupaciones van más allá del software que ejecuta nodos de bitcoin.
Una vulnerabilidad separada en el monedero de hardware Coldcard provocó robos importantes de bitcoin a principios de este año, lo que generó una atención renovada a wallet security.
Ese incidente no involucró una vulnerabilidad en Bitcoin Core, pero demostró cómo las debilidades en la infraestructura circundante pueden poner en peligro los activos de criptomonedas incluso cuando la cadena de bloques subyacente continúa operando normalmente.
El análisis de hardware-wallet de Coinpaper también explica por qué la generación segura de claves y el firmware actualizado siguen siendo protecciones esenciales.