Bitcoin Core telah merevisi kebijakan pengungkapan keamanannya untuk mempercepat perbaikan dan pengungkapan kerentanan yang dapat dengan mudah ditemukan kembali oleh model bahasa besar. Perubahan ini mengakhiri masa embargo berbulan-bulan untuk kerentanan tersebut. Para pemelihara menggabungkan revisi tersebut pada hari Kamis. Pengembang Chaincode Labs, Antoine Poinsot, yang menulis proposal tersebut, mengumumkan perubahan itu pada hari yang sama melalui Bitcoin Development Mailing List.
Poinsot mengatakan laporan tentang kerentanan keamanan yang mudah ditemukan kembali telah meningkat baru-baru ini. Poinsot menyalahkan sebagian besar peningkatan tersebut pada model bahasa besar yang membuat beberapa kelas kerentanan dan perbaikan tersembunyi jauh lebih mudah diidentifikasi.
Bitcoin Core berjalan pada sebagian besar node di jaringan Bitcoin. Kebijakan sebelumnya menghubungkan waktu pengungkapan dengan tingkat keparahan yang diberikan pada setiap kerentanan yang dilaporkan. Kerentanan berkeparahan rendah menjadi publik dua minggu setelah rilis versi utama berikutnya. Kerentanan berkeparahan menengah dan tinggi tetap bersifat rahasia hingga dua minggu setelah rilis terakhir yang terdampak mencapai akhir masa dukungan, yang berpotensi memperpanjang embargo hingga satu tahun. Timeline tersebut memungkinkan operator node, banyak di antaranya melakukan pembaruan secara perlahan, untuk menginstal perangkat lunak yang telah diperbaiki sebelum pengungkapan publik. Secara praktis, perbaikan tidak dirilis untuk versi lama yang masih dipertahankan, melainkan muncul di rilis utama berikutnya. Poinsot berargumen bahwa kompromi ini tidak efektif untuk kerentanan yang mudah ditemukan kembali. Kebijakan menyatakan bahwa embargo memberikan sedikit manfaat untuk kerentanan semacam itu sambil menunda akses ke rilis yang telah diperbaiki.
Bitcoin Core sekarang dapat mengklasifikasikan kerentanan sebagai mudah ditemukan selama triase. Kategori ini mencakup kerentanan yang memerlukan sedikit usaha untuk ditemukan, termasuk melalui permintaan sederhana ke model bahasa besar. Kerentanan yang ditemukan melalui metode lain juga dapat memenuhi syarat. Bitcoin Core akan melakukan backport perbaikan untuk kerentanan yang memenuhi syarat ke setiap versi utama yang masih didukung. Bitcoin Core akan merilis pembaruan titik secepat mungkin. Bitcoin Core akan menerbitkan pernyataan keamanan yang berisi beberapa detail ketika perangkat lunak yang diperbaiki tersedia. Poinsot mengakui bahwa perbaikan yang dipercepat akan menjalani pengujian yang lebih sedikit sebelum pengguna menerima perbaikan tersebut.
Kerentanan yang tidak memenuhi syarat tetap mengikuti jadwal pengungkapan berbasis tingkat keparahan yang ada. Kerentanan kritis tetap dikecualikan dari kebijakan standar dan akan mendapatkan penanganan individu. Kerentanan kritis mencakup kelemahan yang dapat memungkinkan pencurian koin pada tingkat protokol, meningkatkan pasokan koin, atau membagi rantai secara permanen.
Developer Antoine Riard mengusulkan untuk mengizinkan perbaikan tanpa disertai peringatan dan menahan detail ketika keadaan individu memerlukannya. Poinsot menolak usulan tersebut. Poinsot berargumen bahwa peringatan tanpa detail dapat meningkatkan risiko secara tidak perlu dengan mendorong pengguna yang tidak terdampak untuk bermigrasi terlalu cepat.
Revisi kebijakan ini mengikuti bulan-bulan tekanan yang meningkat terhadap proyek open-source Bitcoin. Pada akhir Juli, Bitcoin Red Team, kelompok relawan yang terdiri dari 16 pengembang, menggunakan model AI untuk memeriksa 390 repositori bitcoin dalam waktu sekitar satu hari. Kelompok tersebut mencatat 4.962 temuan, dengan 85 diklasifikasikan sebagai kritis. Dalam beberapa hari, penyerang memanfaatkan kerentanan BTCPay Server yang sebelumnya dilaporkan secara pribadi oleh kelompok tersebut, menguras node Lightning pada server merchant yang aktif. Pada Agustus, pengembang Core Lightning menginstruksikan operator untuk memperbarui atau memutuskan koneksi setelah laporan kerentanan yang dihasilkan AI terbukti benar.
Pekerjaan Bitcoin Red Team mengikuti eksploitasi yang melibatkan dompet perangkat keras Coldcard. Penyerang menguras 594 BTC dalam 25 menit pada 30 Juli. Kerugian dari empat penarikan total hampir $114 juta.