web3: Zespół Red Team bitcoin wykorzystał Kimi K3 do przeskanowania i zarejestrowania 7958 problemów

Ekosystem open source Bitcoina wchodzi w szybszy cykl audytów bezpieczeństwa. Bitcoin Red Team poinformował, że po około 108 godzinach przeglądu 501 projektów, zarejestrowano łącznie 7958 problemów, z czego 1280 zostało zaklasyfikowanych jako wysokiego ryzyka lub poważne. Jednak te liczby nie oznaczają potwierdzonych luk, które można wykorzystać — wiele z nich wymaga dalszej weryfikacji i powtórzenia przez opiekunów i badaczy.

Część wyników została już zweryfikowana i zgłoszona

Według ujawnionych danych około 24,7% problemów przeszło już weryfikację powtarzalności, a 29,4% zgłoszono do opiekunów projektów. Pseudonimowy deweloper Calle, uczestniczący w akcji, powiedział, że zespół przeprowadził podstawowy skan niemal całego ekosystemu open source Bitcoina — zidentyfikowano już szeroką gamę łatwo wykrywalnych podatności.

Głównym narzędziem tej akcji był Kimi K3 od Moonshot AI. Zdaniem Calle, najnowsze modele potrafią szybko analizować lata nagromadzonego kodu, przez co stare oprogramowanie poddawane jest intensywniejszemu audytowi bezpieczeństwa. Autor podkreśla jednak, że nie oznacza to, iż Bitcoin Core lub wszystkie projekty powiązane z Bitcoinem zostały przełamane.

Kimi K3 wykorzystany do masowego audytu kodu

Niezależne testy wykazały, że Kimi K3 posiada określone możliwości w zadaniach z zakresu cyberbezpieczeństwa. Wspólna ocena AI Security Institute z Wielkiej Brytanii oraz amerykańskiej CAISI wskazuje, że ten model radził sobie lepiej w testach wykorzystania podatności niż GLM-5.2, lecz wciąż ustępuje najmocniejszemu zamkniętemu modelowi amerykańskiemu. Kimi K3 osiągnął wynik 32% w ExploitBench, nie uzyskując wykonania dowolnego kodu w żadnej z 41 prób.

Bitcoin Red Team wcześniej zidentyfikował 4962 potencjalnych problemów w 390 projektach Bitcoina, z czego 720 sklasyfikowano wtedy jako wysokiego ryzyka lub poważne. Najnowsze dane pokazują, że zarówno zakres skanowania, jak i liczba problemów znacząco wzrosły w porównaniu z pierwszą rundą.

BTCPay Server naprawił poważną lukę

Tym razem działania nie ograniczały się do automatycznych skanów. BTCPay Server potwierdził w oficjalnej dokumentacji na GitHub, że naprawiono poważną lukę na podstawie zgłoszeń od badaczy z Bitcoin Red Team – Bruno Garcia, Ben Carman oraz niezależnych specjalistów. Wersja 2.4.2 rozwiązała problem obejścia uwierzytelniania dwuskładnikowego w Greenfield Basic Authentication, z którego słabości już skorzystano.

BTCPay Server poinformował następnie, że atakujący zdobyli dane uwierzytelniające LND admin macaroon z zagrożonych wdrożeń i dzięki temu uzyskali dostęp do połączonych portfeli Lightning Network. Zespół dodał, że nadal pracuje nad nowymi zgłoszeniami od Bitcoin Red Team, Project Loupe, Magic Grants i niezależnych badaczy, jednocześnie wzmacniając własne procedury audytu i skanowania.

Poprawki te wskazują, że część zgłoszonych przez Red Team problemów wysokiego ryzyka została potwierdzona i naprawiona przez opiekunów projektów. Jednak to nie oznacza, że wszystkie 7958 zarejestrowanych przypadków faktycznie istnieją. Audyt wspomagany AI nadal może generować fałszywe alarmy, powtarzające się zgłoszenia lub zmianę oceny w wyniku ręcznej weryfikacji.

Szybkość reakcji opiekunów może być kluczowa

Calle uważa, że wraz z istotnym spadkiem kosztów wykrywania i testowania podatności dzięki AI, projekty długo nieotrzymujące wsparcia wymagają większej ostrożności. Szybkość reakcji na zgłoszenia może być coraz wyraźniejszym miernikiem kondycji projektu. W przyszłości opiekunowie mogą potrzebować stale prowadzić własne audyty AI, zamiast polegać wyłącznie na okazjonalnych audytach zewnętrznych.

Ekosystem Bitcoina także zmierza w tym kierunku. OpenSats uruchomiło szybki kanał finansowania Red Team, z częściowym pokryciem kosztów LLM dla badaczy. Ponad 40 instytucji Bitcoin i cyfrowych aktywów wzywa główne laboratoria AI do udostępnienia audytowanym obrońcom open source kontrolowanego dostępu do najbardziej zaawansowanych modeli — wraz z bezpiecznym środowiskiem, wystarczającą mocą obliczeniową i bezpośrednią komunikacją z zespołami AI Security.

Dla przeciętnych użytkowników, największe ryzyko nadal dotyczy portfeli, infrastruktury Lightning Network, oprogramowania płatniczego i starych baz kodu, a nie samego bazowego protokołu konsensusu Bitcoina.