Bitcoin Core đã sửa đổi chính sách tiết lộ bảo mật để đẩy nhanh việc khắc phục và tiết lộ các lỗ hổng mà các mô hình ngôn ngữ lớn có thể dễ dàng phát hiện lại. Thay đổi này chấm dứt các thời gian cấm tiết lộ kéo dài nhiều tháng đối với những lỗ hổng đó. Các nhà duy trì đã hợp nhất bản sửa đổi vào thứ Năm. Nhà phát triển Chaincode Labs Antoine Poinsot, người soạn thảo đề xuất, đã công bố thay đổi này cùng ngày qua Danh sách thư Phát triển Bitcoin.
Poinsot cho biết các báo cáo về các lỗ hổng bảo mật dễ dàng được phát hiện lại đã tăng gần đây. Poinsot cho rằng phần lớn sự gia tăng này là do các mô hình ngôn ngữ lớn giúp xác định dễ dàng hơn các lớp lỗ hổng và các bản vá ẩn.
Bitcoin Core chạy trên hầu hết các nút mạng trong mạng Bitcoin. Chính sách trước đây liên kết thời gian công bố với mức độ nghiêm trọng được gán cho từng lỗ hổng được báo cáo. Các lỗ hổng mức độ thấp trở nên công khai hai tuần sau khi phiên bản chính tiếp theo được phát hành. Các lỗ hổng mức độ trung bình và cao vẫn được giữ bí mật cho đến hai tuần sau khi phiên bản bị ảnh hưởng cuối cùng kết thúc vòng đời, có thể kéo dài thời gian cấm công bố lên đến một năm. Những mốc thời gian này cho phép các nhà vận hành nút mạng, nhiều người trong số họ nâng cấp chậm, cài đặt phần mềm đã được vá trước khi công bố công khai. Trên thực tế, các bản vá không được phát hành cho các phiên bản được duy trì cũ hơn mà thay vào đó xuất hiện trong phiên bản chính tiếp theo. Poinsot lập luận rằng sự thỏa hiệp này không hiệu quả đối với các lỗ hổng dễ dàng được phát hiện lại. Chính sách cho rằng thời gian cấm công bố mang lại lợi ích ít ỏi cho các lỗ hổng như vậy trong khi làm trì hoãn việc truy cập vào phiên bản đã được sửa.
Bitcoin Core hiện có thể phân loại lỗ hổng bảo mật là dễ phát hiện trong quá trình phân loại. Danh mục này bao gồm các lỗ hổng yêu cầu ít nỗ lực để tìm kiếm, bao gồm cả thông qua một lời nhắc đơn giản với mô hình ngôn ngữ lớn. Các lỗ hổng được phát hiện bằng các phương pháp khác cũng có thể đủ điều kiện. Bitcoin Core sẽ áp dụng các bản vá cho các lỗ hổng đủ điều kiện vào mọi phiên bản chính được duy trì. Bitcoin Core sẽ phát hành các bản cập nhật điểm càng nhanh càng tốt. Bitcoin Core sẽ công bố thông báo bảo mật chứa một số chi tiết khi phần mềm đã được vá sẵn sàng. Poinsot thừa nhận rằng các bản vá được tăng tốc sẽ trải qua ít kiểm tra hơn trước khi người dùng nhận được chúng.
Các lỗ hổng không đủ điều kiện sẽ giữ nguyên lịch tiết lộ dựa trên mức độ nghiêm trọng. Các lỗ hổng nghiêm trọng vẫn được miễn trừ khỏi chính sách tiêu chuẩn và sẽ được xử lý riêng lẻ. Các lỗ hổng nghiêm trọng bao gồm các lỗi có thể cho phép đánh cắp coin ở cấp độ giao thức, tăng nguồn cung coin hoặc chia tách chuỗi vĩnh viễn.
Nhà phát triển Antoine Riard đề xuất cho phép thực hiện các bản sửa lỗi mà không đi kèm thông báo cảnh báo và giữ lại chi tiết khi các hoàn cảnh cá nhân yêu cầu. Poinsot đã bác bỏ đề xuất này. Poinsot lập luận rằng các cảnh báo không có chi tiết có thể làm tăng rủi ro không cần thiết bằng cách khuyến khích người dùng không bị ảnh hưởng di chuyển vội vàng.
Việc sửa đổi chính sách diễn ra sau nhiều tháng áp lực gia tăng đối với các dự án mã nguồn mở của bitcoin. Vào cuối tháng Bảy, Bitcoin Red Team, một nhóm tình nguyện gồm 16 nhà phát triển, đã sử dụng các mô hình AI để kiểm tra 390 kho lưu trữ bitcoin trong khoảng một ngày. Nhóm này ghi nhận 4.962 phát hiện, trong đó 85 được phân loại là nghiêm trọng. Chỉ vài ngày sau, các kẻ tấn công đã khai thác lỗ hổng trên BTCPay Server mà nhóm đã báo cáo riêng tư, làm cạn kiệt các nút mạng Lightning trên máy chủ bên chấp nhận thanh toán đang hoạt động. Vào tháng Tám, các nhà phát triển Core Lightning đã hướng dẫn các quản trị viên nâng cấp hoặc ngắt kết nối sau khi các báo cáo lỗ hổng do AI tạo ra được xác minh là chính xác.
Công việc của Nhóm Đỏ Bitcoin liên quan đến một lỗ hổng trong các ví phần cứng Coldcard. Kẻ tấn công đã rút sạch 594 BTC trong vòng 25 phút vào ngày 30 tháng Bảy. Tổn thất từ bốn lần rút tổng cộng gần 114 triệu USD.