web3: Il Red Team di Bitcoin ha registrato 7958 problemi dopo aver effettuato una scansione con Kimi K3

L'ecosistema open source di Bitcoin sta entrando in cicli di revisione della sicurezza sempre più rapidi. Il Bitcoin Red Team ha dichiarato che, dopo circa 108 ore di analisi su 501 progetti, sono stati registrati complessivamente 7.958 problemi, di cui 1.280 classificati come ad alto rischio o di livello critico. Tuttavia, questi dati non equivalgono a vulnerabilità già confermate come sfruttabili; molti risultati richiedono ulteriori verifiche e riproduzioni da parte di manutentori e ricercatori.

Alcuni risultati sono già stati riprodotti e segnalati

Dai dati resi noti risulta che circa il 24,7% dei problemi ha superato la verifica di riproducibilità, e il 29,4% è già stato inviato ai manutentori dei progetti. Calle, sviluppatore con pseudonimo che ha partecipato all’iniziativa, ha dichiarato che il team ha completato la scansione di base dell’intero ecosistema open source di Bitcoin, e che le vulnerabilità più facilmente individuabili sono già state ampiamente controllate.

Lo strumento principale utilizzato in questa azione è stato Kimi K3 di Moonshot AI. Secondo Calle, i modelli all’avanguardia sono ora in grado di verificare rapidamente grandi quantitativi di codice open source accumulati negli anni, sottoponendo i software più vecchi a controlli di sicurezza più intensi. Tuttavia, l'articolo sottolinea anche che questo non significa che Bitcoin Core o tutti i progetti legati a Bitcoin siano stati violati.

Kimi K3 è stato impiegato per un audit massivo del codice

Test indipendenti hanno dimostrato che Kimi K3 possiede alcune capacità nei task di cybersecurity. Una valutazione congiunta dell’AI Security Institute del Regno Unito e della statunitense CAISI afferma che questo modello ha ottenuto prestazioni migliori di GLM-5.2 nei test di sviluppo degli exploit, ma resta comunque inferiore ai più avanzati modelli chiusi statunitensi. Kimi K3 ha ottenuto il 32% su ExploitBench e in 41 campioni non ha mai eseguito codice arbitrario.

In precedenza, il Bitcoin Red Team aveva individuato 4.962 potenziali problemi in 390 progetti Bitcoin, tra cui 720 classificati allora come ad alto rischio o critici. L’ultimo bilancio mostra che sia il raggio d'azione che il numero di problemi rilevati sono aumentati notevolmente rispetto al primo ciclo.

BTCPay Server ha già risolto una vulnerabilità critica

Questa iniziativa non si è limitata alla sola scansione automatica. BTCPay Server ha confermato nelle note ufficiali su GitHub di aver corretto una vulnerabilità critica grazie alle segnalazioni dei ricercatori del Bitcoin Red Team Bruno Garcia, Ben Carman e altri ricercatori indipendenti. La versione 2.4.2 corregge un problema di aggiramento dell’autenticazione a due fattori nella Greenfield Basic Authentication, vulnerabilità che era già stata sfruttata.

BTCPay Server ha inoltre dichiarato che gli aggressori erano riusciti a ottenere le credenziali LND admin macaroon dalle istanze compromesse, accedendo così ai wallet Lightning Network collegati. Il team di progetto afferma di essere ancora impegnato nella gestione di altre segnalazioni provenienti da Bitcoin Red Team, Project Loupe, Magic Grants e ricercatori indipendenti, lavorando anche al rafforzamento dei processi di revisione e scanning.

Queste correzioni dimostrano che una parte dei problemi ad alto rischio segnalati dal Red Team sono stati effettivamente confermati e risolti dai manutentori. Tuttavia, ciò non significa che tutti i 7.958 casi registrati siano validi. L’audit supportato dall’AI può comunque produrre falsi positivi, segnalazioni duplicate o portare a una ricalibrazione del livello di rischio dopo analisi manuali.

La rapidità delle risposte dei manutentori sarà sempre più centrale

Calle ritiene che, poiché l’AI riduce sensibilmente il costo della scoperta e della verifica delle vulnerabilità, i progetti trascurati da tempo devono essere valutati con particolare attenzione. La velocità con cui i responsabili dei progetti rispondono alle segnalazioni di vulnerabilità, in futuro, rifletterà sempre più direttamente lo stato di salute di un progetto. In prospettiva, i manutentori dovranno forse gestire costantemente processi di audit AI propri, invece di affidarsi soltanto a revisioni esterne occasionali.

Anche l’ecosistema Bitcoin si sta adattando in questa direzione. OpenSats ha già avviato un percorso veloce di finanziamento Red Team, in parte destinato a rimborsare i costi del modello LLM ai ricercatori. Inoltre, oltre 40 istituzioni Bitcoin e di asset digitali hanno invitato i principali laboratori di AI a concedere un accesso controllato ai modelli di punta ai difensori open source già verificati, offrendo ambienti sicuri, potenza di calcolo adeguata e canali di comunicazione diretta con i team di sicurezza AI.

Per l’utente comune, i rischi più tangibili restano legati ai wallet, alle infrastrutture Lightning Network, al software di pagamento e ai vecchi repository di codice, piuttosto che al protocollo di consenso alla base di Bitcoin.