Seize chercheurs en sécurité ont exploré 390 bases de code open-source de bitcoin et, en un peu plus d’une journée, ont identifié près de 5 000 anomalies. Ce résultat provient d’un sprint d’audit mené par la Bitcoin Red Team, un groupe de bénévoles ayant réalisé l’une des analyses de sécurité les plus approfondies jamais effectuées dans l’écosystème bitcoin.
Les chiffres sont impressionnants : 4 962 découvertes de sécurité au total sur 390 projets, enregistrées dans une fenêtre de 27,5 heures allant du 4 au 5 août 2026. Parmi celles-ci, 85 ont été classées comme critiques et 635 comme haute gravité. Cela équivaut à environ 2,31 découvertes par chercheur par heure.
Qu'est-ce qui a déclenché l'audit
Le sprint a été une réponse directe aux vulnérabilités récemment découvertes dans le wallet matériel COLDCARD, l'un des dispositifs de stockage à froid les plus largement fiables dans la culture de l'auto-gestion du bitcoin.
Le financement est venu d'OpenSats, une organisation à but non lucratif qui soutient le développement open-source de bitcoin, et qui a contribué près de 40 000 $ pour soutenir cet effort. Le modèle bénévole et les outils alimentés par l'IA ont permis de maximiser chaque dollar.
Comment l'IA a changé les mathématiques
L'équipe rouge Bitcoin a fortement compté sur des outils d'analyse pilotés par l'IA pour analyser les bases de code à une vitesse inaccessibile à tout examen manuel. L'équipe a enregistré en moyenne 180 découvertes par heure collectivement.
On signale que l'équipe Rouge prévoit de rendre open-source les outils qu'elle a utilisés, ce qui pourrait établir une nouvelle référence pour la manière dont la communauté crypto dans son ensemble aborde les audits de sécurité.
Divulgation responsable, pas exposition imprudente
L'équipe Red Team Bitcoin a suivi un processus de divulgation responsable, en reproduisant les problèmes critiques localement avant d'informer les mainteneurs du projet en privé.
Avant ce sprint, le groupe avait déjà effectué des analyses d'environ 150 dépôts, aboutissant à plus d'une douzaine de signalements privés. La vérification d'août a représenté une escalade importante tant en portée qu'en urgence, motivée par les conséquences de COLDCARD.
Ce que cela signifie pour les investisseurs et l’écosystème plus large
L'écosystème bitcoin s'est toujours vanté de son éthique open source. En pratique, la plupart des projets ne reçoivent pas d'examen de sécurité significatif à moins d'être suffisamment connus pour attirer l'attention ou suffisamment financés pour le payer.
L'existence de vulnérabilités ne signifie pas que des fonds ont été volés ou que le bitcoin lui-même est compromis. Le protocole principal du bitcoin n'était pas la cible ici. Les projets audités étaient l'écosystème environnant d'outils et d'applications que les gens utilisent pour interagir avec le bitcoin.
Les coûts de la remédiation seront à la charge des maintaineurs individuels des projets, nombreux parmi eux étant des bénévoles ou de petites équipes.