Uma equipe de voluntários identificou 85 bugs críticos em 390 projetos de bitcoin BTC$64,785.85 em pouco mais de um dia.
Dezesseis desenvolvedores de bitcoin apresentaram 4.962 descobertas em uma auditoria de segurança coordenada, incluindo 85 problemas críticos e 635 de alta gravidade, segundo Calle, o desenvolvedor pseudônimo por trás do protocolo Cashu ecash.
As descobertas vêm de uma auditoria coordenada realizada por desenvolvedores que direcionaram modelos de IA a carteiras de bitcoin, bibliotecas criptográficas e infraestrutura.
"A situação está extremamente ruim," Calle observou.
Estamos aumentando o ritmo.
Grande parte do nosso trabalho ainda é manual (segurando a IA), mas nossos sistemas automatizados estão ficando melhores ao mesmo tempo.
Até agora, permitir que todos usem seu próprio método favorito de avaliação provou ser a estratégia mais eficaz.
Estamos recebendo muitos… pic.twitter.com/EoS6Z9ubpr
A maioria dos relatórios críticos foi rapidamente verificada pelos proprietários do projeto, disse Calle, e está sendo reproduzida usando uma prova de conceito funcional em um ambiente de teste local antes de ser enviada.
Mas ele reconheceu que o volume está criando problemas próprios.
"Há muita confusão agora no ecossistema", ele escreveu, pedindo desculpas aos mantenedores sobrecarregados com relatórios e dizendo que o grupo ainda está aprendendo a organizar "o lixo".
O grupo publica rapidamente porque os mantenedores agora podem verificar os achados quase gratuitamente usando as mesmas ferramentas, disse Calle, e porque "outros que não estão na equipe vermelha chegarão às mesmas descobertas que nós".
Rob Hamilton, que está construindo a configuração automatizada que o grupo utiliza, disse em um post no X que o gargalo não é encontrar bugs, mas encaminhá-los aos mantenedores corretos.
“A parte mais difícil é coordenar para entregar as coisas às pessoas certas”, escreveu Hamilton. “Embora seja poderoso, ter encontrado problemas críticos, eu consideraria isso apenas a versão um.”
A auditoria ocorre em um ecossistema já absorvendo as consequências quando o outro lado encontra uma falha primeiro.
As varreduras do Coldcard, que começaram em 30 de julho e retiraram até US$ 114 milhões de carteiras cujas seeds foram geradas por firmware com falha, resultaram de um bug que estava inativo desde 2021 e não exigia acesso ao dispositivo físico uma vez que o espaço de chave afetado fosse conhecido.
No entanto, os atacantes já possuem as mesmas ferramentas.
Anthropic disse em abril que um de seus modelos, retido de lançamento público e disponibilizado apenas a usuários aprovados, encontrou uma falha que permaneceu não detectada por 27 anos em software amplamente utilizado, com um custo inferior a US$ 50. Ele identificou falhas no software de criptografia que protege conexões bancárias, logins de exchange e servidores que executam a maior parte da internet.
Separadamente, a equipe de inteligência de ameaças do Google disse em maio que havia capturado um grupo criminoso se preparando para um ataque baseado em uma falha que um modelo havia encontrado para eles.