web3: Tim Merah Bitcoin mencatat 7.958 masalah setelah pemindaian dengan Kimi K3

Ekosistem open source Bitcoin kini memasuki siklus audit keamanan yang lebih cepat. Tim Red Team Bitcoin menyatakan, setelah mengaudit sekitar 501 proyek selama 108 jam, mereka mencatat total 7.958 masalah, di mana 1.280 di antaranya diklasifikasikan sebagai tingkat tinggi atau kritis. Namun, angka-angka ini bukan berarti semua masalah tersebut merupakan celah yang sudah dapat dimanfaatkan; banyak temuan masih memerlukan verifikasi dan replikasi lebih lanjut dari para pengelola proyek serta peneliti.

Beberapa Temuan Telah Berhasil Direplikasi dan Dilaporkan

Berdasarkan data yang dirilis, sekitar 24,7% dari masalah tersebut telah berhasil direplikasi dan diverifikasi, sementara 29,4% sudah disampaikan kepada para pengelola proyek. Seorang developer anonim bernama Calle yang terlibat dalam inisiatif ini mengatakan, timnya telah melakukan pemindaian dasar terhadap hampir seluruh ekosistem open source Bitcoin, sehingga celah yang mudah ditemukan sudah diperiksa secara luas.

Alat utama yang digunakan dalam putaran audit ini adalah Kimi K3 milik Moonshot AI. Calle menilai, model AI canggih kini dapat dengan cepat memeriksa kode open source yang telah terkumpul selama bertahun-tahun, membuat software lama menghadapi audit keamanan yang lebih intensif. Namun, di artikel ini juga ditekankan bahwa hal tersebut tidak berarti Bitcoin Core atau seluruh proyek Bitcoin telah sukses ditembus.

Kimi K3 Digunakan untuk Audit Kode Skala Besar

Pengujian independen menunjukkan Kimi K3 memiliki kemampuan tertentu untuk tugas-tugas keamanan siber. Penilaian gabungan antara AI Security Institute Inggris dan CAISI Amerika Serikat menyatakan bahwa model ini tampil lebih baik dibanding GLM-5.2 dalam pengujian exploit, namun masih berada di bawah model proprietary terbaik dari Amerika Serikat. Kimi K3 mendapatkan skor 32% di ExploitBench dan tidak berhasil melakukan eksekusi kode arbitrer pada 41 sampel yang diuji.

Sebelumnya, Red Team Bitcoin menemukan 4.962 potensi masalah pada 390 proyek Bitcoin, di mana 720 di antaranya waktu itu diklasifikasikan sebagai tingkat tinggi atau kritis. Statistik terbaru menunjukkan, cakupan pemindaian dan jumlah masalah terus meningkat signifikan dibandingkan putaran pertama.

BTCPay Server Telah Memperbaiki Satu Celah Serius

Inisiatif kali ini tidak hanya berfokus pada pemindaian otomatis. BTCPay Server melalui pernyataan resmi di GitHub mengonfirmasi telah memperbaiki satu kerentanan serius berdasarkan laporan dari peneliti Red Team Bitcoin Bruno Garcia, Ben Carman, dan peneliti independen lainnya. Versi 2.4.2 telah menambal masalah bypass otentikasi dua faktor dalam Greenfield Basic Authentication, di mana celah tersebut telah sempat dimanfaatkan oleh penyerang.

BTCPay Server juga mengungkapkan, penyerang pernah memperoleh kredensial LND admin macaroon dari deployment yang terdampak, dan menggunakannya untuk mengakses wallet Lightning Network yang terhubung. Pihak proyek menyatakan masih menindaklanjuti laporan lebih lanjut dari Bitcoin Red Team, Project Loupe, Magic Grants, serta peneliti independen, sekaligus memperkuat proses audit dan pemindaian.

Langkah-langkah perbaikan ini mengindikasikan beberapa masalah berisiko tinggi yang ditemukan Red Team telah dikonfirmasi dan ditangani oleh pengelola. Namun, hal ini belum dapat membuktikan seluruh 7.958 temuan benar-benar valid. Audit berbasis AI masih berpotensi menghasilkan false positive, laporan duplikat, atau perubahan tingkat risiko setelah investigasi manual.

Kecepatan Respon Pengelola Kini Jadi Sorotan

Calle mengatakan, dengan AI yang secara drastis menurunkan biaya penemuan dan pengujian celah, proyek yang lama tidak dikelola perlu semakin diwaspadai. Kecepatan respon pengelola terhadap laporan celah kemungkinan akan semakin menjadi indikator utama kesehatan proyek. Ke depannya, pengelola mungkin harus rutin menjalankan proses audit AI sendiri, tidak hanya mengandalkan audit eksternal yang insidental.

Ekosistem Bitcoin juga bergerak ke arah tersebut. OpenSats telah meluncurkan jalur pendanaan cepat Red Team, sebagian untuk membantu menanggung biaya LLM bagi peneliti. Lebih dari empat puluh institusi Bitcoin dan aset digital juga menyerukan laboratorium AI utama agar memberikan akses terbatas ke model canggih bagi open source defender yang telah terverifikasi, termasuk lingkungan yang aman, kapasitas komputasi yang memadai, dan saluran komunikasi langsung dengan tim keamanan AI.

Bagi pengguna biasa, risiko yang paling nyata tetap pada dompet, infrastruktur Lightning Network, perangkat lunak pembayaran, dan kode-kode lama, bukan pada protokol konsensus inti Bitcoin itu sendiri.