Bitcoin Core оновив свою політику розкриття безпеки, щоб прискорити виправлення та розкриття вразливостей, які великі мовні моделі можуть легко відновити. Ця зміна припиняє місяці тривалий період нерозголошення для цих вразливостей. Розробники об’єднали оновлення в четвер. Розробник Chaincode Labs Антуан Пуансот, який авторизував пропозицію, оголосив про цю зміну того ж дня через список розсилки Bitcoin Development.
Пуансо сказав, що кількість повідомлень про легко відновлені безпекові уразливості останнім часом зросла. Пуансо приписав значну частину цього зростання велиkim мовним моделям, які роблять певні класи уразливостей і приховані виправлення набагато простішими для виявлення.
Bitcoin Core працює на більшості нод у мережі Bitcoin. Попередня політика зв’язувала час розголошення з рівнем серйозності, присвоєним кожній повідомленій вразливості. Вразливості низького рівня серйозності ставали загальнодоступними через два тижні після випуску наступної основної версії. Вразливості середнього та високого рівня серйозності залишалися конфіденційними до двох тижнів після завершення підтримки останньої вразливої версії, що могло продовжити період нерозголошення до року. Ці терміни давали операторам нод, багато з яких оновлюються повільно, час встановити виправлену версію програмного забезпечення до публічного розголошення. На практиці виправлення не випускалися для старіших підтримуваних версій, а з’являлися лише у наступній основній версії. Поансот стверджував, що цей компроміс не працює для вразливостей, які легко можна виявити знову. Політика стверджує, що період нерозголошення майже не дає переваг для таких вразливостей, затримуючи доступ до виправленої версії.
Bitcoin Core тепер може класифікувати вразливість як легко виявляєму під час відбору. Ця категорія охоплює вразливості, які вимагають мінімальних зусиль для виявлення, включаючи простий запит до великої мовної моделі. Вразливості, виявлені іншими методами, також можуть підходити під цю категорію. Bitcoin Core застосує виправлення для кваліфікованих вразливостей до кожної підтримуваної основної версії. Bitcoin Core випустить точкові оновлення якомога швидше. Bitcoin Core опублікує попередження про безпеку з деякими деталями, коли виправлений програмний код стане доступним. Поансот визнав, що прискорені виправлення пройдуть менше тестування до того, як користувачі отримають їх.
Уразливості, які не відповідають критеріям, зберігають існуючий графік розкриття, заснований на рівні серйозності. Критичні уразливості залишаються поза дією стандартної політики і отримуватимуть індивідуальний підхід. До критичних уразливостей відносяться недоліки, які можуть дозволити крадіжку монет на рівні протоколу, збільшити пропозицію монет або постійно розділити ланцюг.
Розробник Антуан Ріар запропонував дозволити внесення виправлень без супутніх попереджень та приховувати деталі, коли це виправдано окремими обставинами. Пуансот відхилив цю пропозицію. Пуансот стверджував, що попередження без деталей можуть необґрунтовано збільшити ризик, спонукаючи користувачів, які не постраждали, швидко мігрувати.
Перегляд політики відбувся після місяців зростання тиску на відкриті проекти Bitcoin. У кінці липня Bitcoin Red Team — добровільна група з 16 розробників — за допомогою моделей ШІ перевірила 390 репозиторіїв bitcoin приблизно за один день. Група зафіксувала 4 962 знаходження, з яких 85 визначено як критичні. Вже через кілька днів зловмисники використали вразливість BTCPay Server, яку група повідомила конфіденційно, і вивели кошти з Lightning-нод на живих мерчант-серверах. У серпні розробники Core Lightning наказали операторам оновити програмне забезпечення або відключитися, оскільки звіти про вразливості, згенеровані ШІ, виявилися правильними.
Робота Bitcoin Red Team була пов’язана з експлойтом, що стосувався апаратних гаманців Coldcard. Зловмисники вивели 594 BTC за 25 хвилин 30 липня. Збитки від чотирьох вибірок сягнули майже 114 мільйонів доларів США.