AI-सक्षम बिटकॉइन रेड टी ने 30 घंटों में 4,962 सुरक्षा समस्याएँ खोजीं

स्वयं को Bitcoin Red Team कहने वाले एक स्वयंसेवी समूह ने बिटकॉइन परितंत्र की कोडबेस का तेज, AI‑सहायित निरीक्षण पूरा किया है, जिसमें लगभग 30 घंटों में 390 प्रोजेक्ट्स के लिए कुल 4,962 सुरक्षा निष्कर्ष दर्ज किए गए हैं। छद्म नाम वाले डेवलपर calle — Cashu ecash प्रोटोकॉल के निर्माता — ने बुधवार को टीम की पहली स्थिति रिपोर्ट प्रकाशित की। परिणाम स्पष्ट हैं: 85 निष्कर्षों को क्रिटिकल और 635 को उच्च गंभीरता (high severity) के रूप में लेबल किया गया, जो मिलकर कुल का 14.5% हैं। इसका अर्थ है प्रति प्रोजेक्ट औसतन 1.85 गंभीर समस्याएँ और प्रति घंटे लगभग 166 निष्कर्ष रिपोर्ट किए गए। यह कैसे किया गया - इस प्रयास में मानव समीक्षा और AI टूलिंग का संयोजन है। Calle कहते हैं कि समूह बढ़कर 16 लोगों तक पहुँच गया है जो 24/7 काम कर रहे हैं; रिपोर्ट में कुल 17 योगदानकर्ताओं (14 मानव, 3 स्वचालित) दर्ज हैं। - लगभग 91% निष्कर्ष स्वचालित स्कैन पाइपलाइनों के माध्यम से प्राप्त किए गए, हालांकि calle ज़ोर देते हैं कि काम का बड़ा हिस्सा अभी भी “AI का हाथ पकड़कर चलना” है, जबकि स्वचालित हार्नेस बेहतर हो रहे हैं। योगदानकर्ताओं को अपनी स्वयं की prompting और एजेंट सेटअप इस्तेमाल करने की अनुमति देने से कथित तौर पर अलग‑अलग प्रकार की बग्स सामने आई हैं। - लगभग 21% निष्कर्षों को proof‑of‑concept (PoC) कोड के साथ डायनामिक रूप से पुन: उत्पन्न किया गया है। रिपोर्ट की गई आठ समस्याओं को false positives के रूप में हटाया जा चुका है। जोखिम कहाँ केंद्रित हैं - उच्च‑या‑क्रिटिकल निष्कर्षों का अनुपात श्रेणी के अनुसार बदलता है। Privacy और CoinJoin टूल्स में सबसे अधिक दर (24%) देखी गई, इसके बाद swaps और exchanges (21%), और payments/मर्चेंट टूल्स (17%) आते हैं। - Cryptographic लाइब्रेरी और SDKs ने निष्कर्षों की सबसे बड़ी कुल मात्रा (1,101) उत्पन्न की, लेकिन उनमें से केवल लगभग 10% ही उच्च या क्रिटिकल थे। Disclosure और समुदाय पर प्रभाव - अब तक केवल 19 प्रोजेक्ट्स — स्कैन किए गए कुल प्रोजेक्ट्स के 5% से कम — को upstream निष्कर्षों का प्रकटीकरण मिला है। Calle ने पहले से ही दबाव में चल रहे maintainers पर बढ़ते दबाव को स्वीकार किया और किसी भी तनाव के लिए माफी माँगी, जबकि उन्होंने तर्क दिया कि तेज रिपोर्टिंग आवश्यक है: प्रोजेक्ट मालिक मुद्दों की पुष्टि करने की सबसे अच्छी स्थिति में होते हैं, AI सत्यापन को सस्ता और तेज बनाता है, और यदि डिफेंडर्स कार्रवाई नहीं करते तो वही टूल्स इस्तेमाल करने वाले हमलावर भी वही बग्स खोज लेंगे। विस्तृत संदर्भ: AI हमला और बचाव दोनों को तेज करता है यह अभियान AI‑सहायित कोड समीक्षा के युग में बिटकॉइन सॉफ़्टवेयर सुरक्षा पर नए सवालों के बीच सामने आया है। रिपोर्ट Coinkite के Coldcard घटना जैसी पिछले हाई‑प्रोफ़ाइल विफलताओं की ओर इशारा करती है: मार्च 2021 के एक फ़र्मवेयर बिल्ड ने entropy के लिए एक सॉफ़्टवेयर fallback का उपयोग किया, जिसने प्राइवेट कीज़ को अनुमान योग्य बना दिया और अनुमान है कि उपयोगकर्ताओं को लगभग $130 मिलियन का नुकसान हुआ। अपने post‑mortem में, Coinkite ने संकेत दिया कि “किसी ने हमारी फ़र्मवेयर की पिछली वर्ज़न की समीक्षा करने के लिए AI का उपयोग किया” और इस खामी को पाया। Ledger के CTO Charles Guillemet ने इसी तरह चेतावनी दी है कि AI प्रतिद्वंद्वियों को “मशीन स्पीड” पर कमजोरियाँ पहचानने देता है, और यह कि “open source और reviewed एक ही चीज़ नहीं हैं।” रिपोर्ट के अनुसार Coldcard की खामी सार्वजनिक कोड में पाँच साल से अधिक समय तक मौजूद रही, इससे पहले कि इसे AI‑चालित विश्लेषण के माध्यम से खोजा गया — यह याद दिलाता है कि अब हमलावरों के पास ऐसे टूल्स हैं जो पारंपरिक समीक्षा चक्रों को पीछे छोड़ सकते हैं। निष्कर्ष Bitcoin Red Team का तेज, AI‑संचालित ऑडिट दो असहज वास्तविकताओं पर प्रकाश डालता है: कई व्यापक रूप से उपयोग किए जाने वाले बिटकॉइन प्रोजेक्ट्स में अभी भी उच्च गंभीरता वाली बग्स मौजूद हैं, और AI ने उन्हें खोजने के लिए आवश्यक समय को नाटकीय रूप से घटा दिया है। यह घटना maintainers और व्यापक परितंत्र के लिए AI‑सक्षम प्रतिद्वंद्वियों की गति के साथ तालमेल बनाए रखने के लिए तेज, सतत सुरक्षा प्रक्रियाएँ और समन्वित disclosure प्रथाएँ अपनाने की तात्कालिकता को रेखांकित करती है।