AIによるBitcoinセキュリティ監査で390のリポジトリから85件の重大な脆弱性が発見

主なポイント

• Bitcoin Red Teamは27.5時間で390のリポジトリから85件の重大な脆弱性を発見。
• 監査は、ColdcardのRNG脆弱性による1億ドル超の損失を受けて実施された。

Bitcoin Red Teamとして知られるボランティア団体は、協調監査の初日にオープンソースのBitcoinリポジトリ内で数千件の脆弱性を報告した。

開発者Calle氏とAnchorWatch CEOのRob Hamilton氏が率いるこのグループは、27.5時間で4,962件の発見を記録し、その中には85件の重大な問題と635件の高リスク問題が含まれている。

この取り組みには、4万ドル以上の人工知能コンピューティングリソースが投入されており、オープンソースのBitcoin開発を支援する非営利団体OpenSatsから財政的な支援が提供された。

この監査は、Coldcardハードウェアウォレットのランダムナンバージェネレータの脆弱性に起因し、1億ドル超の確認済み損失をもたらした大規模なセキュリティインシデントの後に行われた。

AI駆動のセキュリティレビューの範囲

Red Teamは、17万1,599行のコードを対象とするレビューハーネスを作成し、基盤となるBitcoinソフトウェアライブラリと再現可能な脆弱性を特定・記録した。

プロジェクトの最新情報によれば、これまでに報告された指摘事項のうち21.4%が再現に成功している。

Calle氏によると、初期段階の発見ペースはコントリビューター1人あたりおおよそ1時間につき1件の重大なエクスプロイトが発見されているという。

チームはKimi K3、GPT Sol、Fable、Opus、GLM5.2などの複数のAIモデルを活用してリポジトリをスキャンし、メンテナー向けの構造化レポートを生成した。

一部の米国系AIシステムへのアクセス初期制限を受け、より広範なアクセスが回復するまでチームは中国のオープンソースモデルに大きく依存した。

Hamilton氏は、レビューハーネスがオープンソース化される予定であり、企業がオープンソース・クローズドソース両方のBitcoinコードベースをテストできるようになると示唆した。

Coldcard侵害と業界の対応

このイニシアティブは、ColdcardのRNG実装における脆弱性が攻撃者に悪用され、MK3+デバイスに影響を及ぼし、資金の引き出しが可能となった後に立ち上げられた。

調査により、少なくとも15人の個別の攻撃者がパッチ済みファームウェアがリリースされる前にこの脆弱性を悪用したことが特定された。

アップデート済みファームウェアで生成されたウォレットに資金を移行していないユーザーは、依然としてリスクにさらされている可能性がある。

Boltz取引所は、業界全体でAI支援による脆弱性発見が評価されている中、特定のオペレーションの一時停止を発表した。