Những điểm chính
- Bitcoin Core tăng tốc các bản sửa lỗi cho các lỗ hổng dễ phát hiện
- Các nhà nghiên cứu AI đã phát hiện 4.962 vấn đề trong các dự án bitcoin
- Các nhà phát triển phải đối mặt với những sự đánh đổi mới giữa tốc độ và kiểm thử
Các nhà phát triển Bitcoin Core đã thay đổi các quy tắc bảo mật của họ sau khi các công cụ trí tuệ nhân tạo giúp các nhà nghiên cứu xác định được hàng nghìn lỗ hổng tiềm ẩn trên toàn bộ hệ sinh thái bitcoin, làm dấy lên lo ngại rằng các phương pháp truyền thống để giữ bí mật các lỗi phần mềm đang trở nên kém hiệu quả hơn.
Bản cập nhật chính sách, được hợp nhất vào ngày 22 tháng Mười, giới thiệu việc tiết lộ và vá lỗ hổng nhanh hơn cho các lỗ hổng có thể được phát hiện với nỗ lực tối thiểu, bao gồm thông qua một lời nhắc AI đơn giản.
Theo chính sách bảo mật chính thức của Bitcoin Core, các nhà phát triển hiện sẽ phát hành các bản sửa lỗi cho những lỗ hổng dễ phát hiện này trên các phiên bản phần mềm được duy trì mà không cần chờ các khoảng thời gian cấm công bố kéo dài như trước đây.
Tại sao Bitcoin Core đang từ bỏ các biện pháp cấm công bố bảo mật dài hạn
Bitcoin Core truyền thống trì hoãn việc công bố công khai một số lỗ hổng để cung cấp thời gian cho các chủ nút mạng cập nhật trước khi kẻ tấn công biết cách khai thác chúng.
Các lỗ hổng mức độ trung bình và cao có thể vẫn không được tiết lộ trong khoảng một năm, tùy thuộc vào thời điểm các phiên bản phần mềm bị ảnh hưởng kết thúc chu kỳ hỗ trợ.
Tuy nhiên, trí tuệ nhân tạo đang thay đổi phép tính đó.
Chuyên gia đóng góp cho Bitcoin Core, Antoine Poinsot, giải thích trong thông báo phát triển ngày 22 tháng 10 rằng các mô hình ngôn ngữ lớn đã giúp xác định hoặc tự mình tái phát hiện một số lỗ hổng bảo mật một cách dễ dàng đáng kể.
Theo cách tiếp cận đã sửa đổi, các nhà phát triển có thể phân loại lỗ hổng là dễ dàng phát hiện, phân phối bản vá cho mọi phiên bản chính được duy trì và công bố thông báo bảo mật cùng với các bản cập nhật.
Đề xuất GitHub đã được gửi vào ngày 16 tháng 10 và được hợp nhất sau sáu ngày.
Các lỗ hổng khác sẽ tiếp tục được tiết lộ theo lịch trình dựa trên mức độ nghiêm trọng, trong khi các vấn đề bảo mật nghiêm trọng trên mạng bitcoin yêu cầu xử lý riêng lẻ.
Sự thay đổi này theo sau các cuộc tranh luận trước đây về Bitcoin Core upgrades, nơi các nhà phát triển đã cân bằng giữa các tính năng mới với bảo mật và độ ổn định của mạng lưới.
Bản đánh giá bảo mật AI phát hiện gần 5.000 lỗ hổng bitcoin tiềm ẩn
Sự cấp bách trở nên rõ ràng trong một cuộc rà soát bảo mật quy mô lớn được hỗ trợ bởi AI vào đầu năm nay.
Trong khoảng 30 giờ, một đội tình nguyện Bitcoin Red Team gồm 16 nhà phát triển đã kiểm tra 390 dự án phần mềm liên quan đến bitcoin.
Các nhà nghiên cứu đã báo cáo 4.962 vấn đề bảo mật tiềm ẩn, trong đó có 85 vấn đề ban đầu được phân loại là nghiêm trọng và 635 vấn đề có mức độ nghiêm trọng cao.
Coinpaper trước đây đã ghi lại phát hiện của Nhóm Đỏ Bitcoin, cho thấy cách phân tích tự động có thể tạo ra một lượng lớn báo cáo lỗ hổng trong thời gian rất ngắn.
Tuy nhiên, các con số này cần một sự phân biệt quan trọng.
Đây là những phát hiện từ hàng trăm dự án liên quan đến bitcoin, không phải là lỗ hổng xác thực trong Bitcoin Core. Nhiều trường hợp cần xác minh thêm và các phân loại này mang tính chất sơ bộ.
Một số lỗ hổng được xác định thông qua nỗ lực bảo mật rộng hơn vẫn nghiêm trọng.
Vào tháng Tám, nhà xử lý thanh toán BTCPay Server đã đối mặt với một lỗ hổng đang bị khai thác tích cực, làm lộ thông tin xác thực liên quan đến các nút mạng Lightning Network.
Sự cố đã buộc phải thực hiện phản ứng bảo mật khẩn cấp, bao gồm các hạn chế đối với truy cập Lightning từ xa.
Một nhà cung cấp hạ tầng bitcoin khác, Boltz, đã tạm thời vô hiệu hóa dịch vụ hoán đổi sau khi báo cáo các cuộc tấn công tự động sử dụng các kỹ thuật được hỗ trợ bởi AI.
Việc cập nhật bảo mật bitcoin nhanh hơn có thể gây ra những rủi ro mới không?
Các quy tắc tiết lộ đã được sửa đổi có thể giúp các chủ nút mạng nhận được các bản sửa lỗi quan trọng sớm hơn, nhưng các bản phát hành tăng tốc tạo ra những thách thức riêng.
Poinsot thừa nhận rằng các bản vá được phân phối nhanh chóng có thể nhận được ít kiểm thử hơn trước khi đến tay người dùng.
Các nhà phát triển cũng đã tranh luận xem một số cảnh báo bảo mật có nên được giữ bí mật cho đến khi có thêm các biện pháp bảo vệ không.
Tiếp cận cuối cùng ưu tiên công bố lời khuyên đi kèm với bản sửa lỗi nhanh chóng cho các lỗ hổng được coi là dễ phát hiện lại, thay vì đưa ra cảnh báo mà không có bản cập nhật khả dụng.
Những lo ngại này vượt xa phần mềm chạy các nút mạng bitcoin.
Một lỗ hổng bảo mật riêng biệt trên ví phần cứng Coldcard đã dẫn đến các vụ trộm bitcoin quy mô lớn hồi đầu năm nay, khiến sự chú ý được tăng cường đối với wallet security.
Sự cố đó không liên quan đến lỗ hổng trong Bitcoin Core, nhưng nó cho thấy cách các điểm yếu trong cơ sở hạ tầng xung quanh có thể đe dọa tài sản tiền điện tử ngay cả khi blockchain cơ bản vẫn hoạt động bình thường.
Phân tích ví phần cứng của Coinpaper hardware-wallet analysis cũng giải thích tại sao việc tạo khóa an toàn và cập nhật firmware vẫn là những biện pháp bảo vệ thiết yếu.