AIによるBitcoinセキュリティキャンペーンで、390のプロジェクトにおいて約5,000件のソフトウェア問題が発見される

協調されたBitcoinセキュリティキャンペーンにより、約30時間で数百のオープンソースプロジェクトから約5,000件のソフトウェア問題が発見されました。この取り組みは、人的専門知識と人工知能ツールを組み合わせてソフトウェアの脆弱性を特定しました。

このイニシアティブでは、開発者Calleが率いる16人のセキュリティ研究者がOpenSats、OpenCode、そしてAI推論スポンサーの支援を受けて協力しました。グループは、数百のBitcoin関連プロジェクトを対象に協調してレビューを行いました。

調査結果の詳細

チームはキャンペーン期間中、390のBitcoin関連プロジェクトから4,962件の発見事項を報告しました。この総数には、85件の重大な問題と635件の高リスク発見事項が含まれており、最も深刻な報告の数は合計720件となりました。

キャンペーンは迅速なペースを維持し、レビュー期間中に毎時約166件の報告が行われました。公開された数字によると、チームはソフトウェア検査に費やされた人時ごとに約2.3件の重大または高リスク問題を特定しました。

研究者によれば、このキャンペーンは従来のセキュリティ監査と異なり、テスト中に人間のレビュー担当者が積極的にAIシステムを誘導しました。それぞれの参加者が異なるプロンプトや手法を用いることで、一つのアプローチでは見逃されていた弱点を発見する助けとなりました。

最終的な集計には、ライブキャンペーンが正式に開始される前に1人の貢献者が収集した発見事項も含まれています。それらの結果が加算されたことで、暗号ライブラリーとソフトウェア開発キットが1,385件の報告問題を記録し、最も発見事項が多い分野となりました。

発見事項が示したもの

チームによると、報告された発見事項7件につき約1件が高リスクまたは重大なカテゴリに分類されました。監査されたプロジェクトのうち、キャンペーンを問題なしで終了したのは1件のみであり、Bitcoin Coreの開発者Matt Coralloによるユーモラスなコメントを引き出しました。

研究者はすでに影響を受けたプロジェクトの管理者へ、証拠となるリテストデモを添えて検証済みの重大問題を送付し始めています。多くの管理者は報告を迅速に認めたとされていますが、これほど大量の問題対応は引き続き大きな課題となっています。

このキャンペーンは、複数の最近のセキュリティインシデントを受けて、Bitcoinソフトウェアセキュリティへの関心がエコシステム全体で高まっている中で実施されました。別件では、7月31日にBitcoinの1日アクティブアドレス数が約98万となり、2024年12月以来の最高水準を記録しました。この急増は、攻撃者が欠陥のあるColdcardファームウェアで生成されたシードを使ったウォレットを一斉に狙い始めたことに起因しています。