La décision de Bitcoin Core de ne plus ignorer les bogues qu'une IA pourrait détecter a déjà mis au jour trois d'entre eux, dont un qui permet à un inconnu de faire planter des nœuds fonctionnant sur des ordinateurs Windows et Mac.
La faille, initialement signalée par un scan AI le 23 octobre, permettait à tout ordinateur connecté à un nœud bitcoin sous Windows, macOS ou BSD de submerger ce nœud avec des données jusqu'à ce qu'il manque de mémoire et plante. Les développeurs l'ont confirmée le jour même de sa découverte, ont publié des correctifs le 27 octobre et ont rendu les détails publics mercredi, ainsi que deux autres failles révélées par le scan.
Un nœud est le logiciel qui vérifie et transmet chaque transaction bitcoin, et Bitcoin Core est le programme exécuté par la plupart des nœuds. Until last week, les développeurs de Core gardaient secrètes des failles de gravité moyenne comme celle-ci jusqu'à un an, afin de donner aux opérateurs le temps de mettre à jour leur logiciel avant que les attaquants ne découvrent où chercher.
Cela a changé le 22 octobre pour les bogues que les juges du projet jugent « facilement identifiables », car les LLM ont rendu leur détection peu coûteuse. Leurs correctifs sont désormais publiés dès que possible sur toutes les versions prises en charge, accompagnés d’un avis public, comme l’a rapporté CoinDesk.
Les trois bugs ont été découverts lors d’un balayage automatisé utilisant un modèle de langage à grande échelle pour analyser le code de Bitcoin Core. Ensuite, chaque résultat a été vérifié par un contributeur humain avant d’être transmis à l’équipe sécurité du projet.
Le deuxième bug explique pourquoi Core a modifié ses règles. Les résultats du scan ont été signalés au projet le 15 septembre, et six jours plus tard, un autre développeur a découvert indépendamment la même faille. Elle permettait à un nœud connecté de prétendre exécuter une version obsolète du protocole, puis de le bloquer. Selon l'avis, les messages s'accumulaient dans la mémoire de la victime à raison de jusqu'à 2 Mo par heure pour chaque connexion entrante et 5 Mo par heure pour chaque connexion sortante.
Le troisième bug, classé comme ayant une gravité faible, a été détecté trois fois : lors de l'analyse et dans deux rapports distincts provenant de développeurs, en août et le 23 octobre. Un mineur pourrait créer des blocs qui provoquent un débordement des fichiers qu'un nœud conserve pour une réorganisation, c'est-à-dire lorsque le réseau remplace quelques blocs récents par un ensemble concurrent.
Sur les machines 64 bits, l'attaque prendrait environ un mois de la production totale de blocs du réseau. Sur Windows et les systèmes 32 bits, le nœud peut échouer complètement, et « redémarrer ne résout pas le problème », indique l'avis. Les nœuds sur des machines 32 bits, ou stockant des blocs sur des disques FAT32 plus anciens, restent exposés même après la correction.
Entre-temps, les notes de version indiquent que trois autres bogues de gravité moyenne et élevée, corrigés dans la version 30.0, seront divulgués dans deux semaines.