Yapay Zeka Destekli Bitcoin Red Team, 30 Saatte 4.962 Güvenlik Sorunu Keşfetti

Kendi kendini Bitcoin Kırmızı Takımı olarak adlandıran bir gönüllü grubu, Bitcoin ekosisteminin kod tabanlarını 30 saat içinde hızlı bir şekilde, yapay zeka destekli bir şekilde taradı ve 390 projede 4.962 güvenlik bulgusu raporladı. Pseudonim geliştirici calle — Cashu e-nakit protokolünün yaratıcısı — takımın ilk durum raporunu Çarşamba günü yayınladı. Sonuçlar çarpıcı: 85 kritik ve 635 yüksek ciddiyetteki bulgu, toplamın %14,5'ini oluşturuyor. Bu, her proje başına ortalama 1,85 ciddi sorun ve saatte yaklaşık 166 bulgu raporlaması anlamına geliyor. Nasıl yaptılar? - Çaba, insan incelemesi ve yapay zeka araçlarını birleştiriyor. Calle, grubun 24/7 çalışan 16 kişiden oluştuğunu söylüyor; rapor toplamda 17 katkıda bulunanı kaydediyor (14 insan, 3 otomatik). - Bulguların %91’i otomatik tarama boru hatları aracılığıyla alınmış olsa da, calle, otomatik araçlar gelişirken işin büyük bir kısmının “yapay zekayı yönlendirmek” kaldığını vurguluyor. Katkıda bulunanların kendi tetikleme ve ajan kurulumlarını kullanmalarına izin verilmesi, farklı hata sınıflarının ortaya çıkmasına neden olmuş. - Bulguların yaklaşık %21’i kanıt-kavram (PoC) koduyla dinamik olarak yeniden üretildi. Sekiz raporlanan sorun, yanlış pozitif olarak kapatıldı. Riskler nerede yoğunlaşıyor? - Yüksek veya kritik bulguların oranı kategoriye göre değişiyor. Gizlilik ve CoinJoin araçları en yüksek oranla (%24) öne çıkıyor, ardından takaslar ve borsalar (%21), ödemeler/satıcı araçları (%17) geliyor. - Kriptografik kütüphaneler ve SDK’lar en yüksek sayıda bulgu (1.101) üretti, ancak bunların yalnızca yaklaşık %10’u yüksek veya kritikti. Açıklama ve topluluk etkisi - Şu ana kadar taranan projelerin %5’inden azı olan yalnızca 19 proje için bulgular yukarıya doğru açıklanmış. Calle, zaten aşırı meşgul olan bakıcılar üzerindeki ek baskıyı kabul edip herhangi bir stres için özür diledi, ancak hızlı bildirimlerin gerekli olduğunu savundu: proje sahipleri sorunları doğrulamak için en iyi konumda; yapay zeka doğrulamayı daha ucuz ve hızlı hale getiriyor; ve savunmacılar harekete geçmezse, saldırganlar aynı araçları kullanarak aynı hataları keşfedecek. Daha geniş bağlam: Yapay zeka hem saldırı hem savunmayı hızlandırıyor Kampanya, yapay zeka destekli kod incelemesi çağında Bitcoin yazılım güvenliği üzerine yeniden ortaya çıkan sorularla birlikte geliyor. Rapor, Coinkite’nin Coldcard olayı gibi geçmişteki yüksek profilli başarısızlıkları işaret ediyor: Mart 2021’deki bir donanım yazılımı derlemesi, gizli anahtarların tahmin edilebilir hale getirdiği bir entropy için yazılımsal yedekleme kullandı ve kullanıcıların yaklaşık 130 milyon dolar kaybettiği tahmin ediliyor. Coinkite’nin olay sonrası analizinde, “birisi firmware’in önceki sürümlerini incelemek için yapay zekayı kullandı” önerisinde bulundu. Ledger CTO’su Charles Guillemet de yapay zekanın saldırganların “makine hızında” zafiyetleri tanımlamasına izin verdiğini ve “açık kaynak ve incelenmiş aynı şey değildir” uyarısında bulundu. Coldcard hatası, yapay zeka tabanlı analizle keşfedilmeden önce kamuoyuna açılmış kodlarda beş yıldan fazla süredir var olmuş; bu, saldırganların artık geleneksel inceleme döngülerini geçecek araçlara sahip olduğunu hatırlatıyor. Sonuç Bitcoin Kırmızı Takımı’nın hızlı, yapay zeka destekli denetimi iki rahatsız edici gerçekliği vurguluyor: çok sayıda yaygın kullanılan Bitcoin projesi hâlâ yüksek ciddiyette hatalar içeriyor ve yapay zeka, bu hataları bulmak için gereken süreyi büyük ölçüde kısalttı. Bu olay, bakıcıların ve daha geniş ekosistemin, yapay zeka destekli saldırganlarla yarışmak için daha hızlı, sürekli güvenlik süreçleri ve koordine edilmiş açıklamalar benimsemesi gerekliliğini vurguluyor.