web3: El equipo rojo de bitcoin registró 7.958 problemas tras escanear con Kimi K3

El ecosistema open source de Bitcoin está entrando en un ciclo de auditorías de seguridad más rápido. El Bitcoin Red Team señaló que, tras auditar 501 proyectos durante aproximadamente 108 horas, se registraron un total de 7.958 problemas, de los cuales 1.280 fueron clasificados como de alto riesgo o gravedad. Sin embargo, estas cifras no equivalen a vulnerabilidades confirmadas que puedan ser explotadas; muchos resultados aún requieren ser reproducidos y verificados por desarrolladores y analistas.

Algunos hallazgos ya fueron reproducidos y reportados

Según los datos divulgados, aproximadamente el 24,7% de los problemas ya cuentan con validación reproducible, y el 29,4% fueron enviados a los mantenedores de los proyectos. Calle, un desarrollador bajo seudónimo que participó en la iniciativa, comentó que el equipo ya realizó un escaneo básico de prácticamente todo el ecosistema open source de Bitcoin, cubriendo ampliamente las vulnerabilidades más fáciles de encontrar.

La herramienta central de esta acción fue Kimi K3 de Moonshot AI. Calle considera que los modelos de vanguardia ya pueden auditar rápidamente código open source acumulado durante años, lo que somete a los programas más antiguos a una revisión de seguridad mucho más rigurosa. Sin embargo, se remarca que esto no significa que Bitcoin Core o todos los proyectos relacionados hayan sido vulnerados.

Kimi K3 fue utilizado para auditorías masivas de código

Pruebas independientes muestran que Kimi K3 tiene cierta capacidad en tareas de ciberseguridad. Una evaluación conjunta realizada por el AI Security Institute del Reino Unido y CAISI de Estados Unidos indicó que este modelo superó a GLM-5.2 en pruebas de desarrollo de exploits, pero sigue estando detrás de los modelos cerrados más potentes de Estados Unidos. En ExploitBench, Kimi K3 obtuvo un 32% de puntuación y no logró ejecutar código arbitrario en ninguno de los 41 casos analizados.

El Bitcoin Red Team ya había identificado 4.962 posibles problemas en 390 proyectos de Bitcoin previamente, de los cuales 720 se consideraron de alto riesgo o gravedad. Según las cifras más recientes, tanto el alcance del escaneo como el número de problemas han aumentado significativamente en comparación con la primera ronda.

BTCPay Server ya solucionó una vulnerabilidad crítica

Esta ronda de auditorías no se limitó al escaneo automático. BTCPay Server confirmó en su repositorio oficial de GitHub que corrigió una vulnerabilidad crítica reportada por los investigadores Bruno Garcia, Ben Carman del Bitcoin Red Team y otros investigadores independientes. La versión 2.4.2 solucionó un fallo que permitía a los atacantes evadir la autenticación de dos factores en Greenfield Basic Authentication, vulnerabilidad que ya había sido explotada.

Posteriormente, BTCPay Server informó que atacantes lograron obtener credenciales LND admin macaroon de despliegues afectados y, mediante ellas, acceder a billeteras Lightning Network conectadas. El equipo indicó que continúa atendiendo reportes de Bitcoin Red Team, Project Loupe, Magic Grants y otros investigadores independientes, además de reforzar los procesos de auditoría y monitoreo.

Estas correcciones demuestran que algunos problemas de alto riesgo reportados por el Red Team ya han sido verificados y tratados por los responsables de los proyectos. Sin embargo, esto no significa que los 7.958 reportes estén confirmados. Las auditorías asistidas por IA pueden producir falsos positivos, informes duplicados o reclasificación de riesgos tras evaluaciones humanas.

La velocidad de respuesta de los desarrolladores será clave

Calle opina que, dado que la IA reduce considerablemente el costo de detectar y probar vulnerabilidades, los proyectos que lleven mucho tiempo sin mantenimiento deben ser evaluados con mayor cautela. La rapidez con la que los desarrolladores responden a los reportes de vulnerabilidades podría volverse cada vez más indicativa de la salud del proyecto. En el futuro, los mantenedores tendrán que implementar auditorías asistidas por IA de forma continua, en vez de depender solo de revisiones externas ocasionales.

El ecosistema Bitcoin también está avanzando en esa dirección. OpenSats ya lanzó un canal de financiamiento rápido para red teams, parte del cual subsidia los costos de uso de LLM para investigadores. Más de 40 instituciones vinculadas a Bitcoin y activos digitales instaron a los principales laboratorios de IA a otorgar acceso controlado a modelos de vanguardia a defensores open source verificados, incluyendo entornos seguros, la computación necesaria y comunicación directa con equipos de seguridad en IA.

Para los usuarios comunes, los mayores riesgos siguen concentrándose en billeteras, infraestructura de Lightning Network, software de pagos y bases de código antiguas, más que en el propio protocolo de consenso de Bitcoin.