La campagna di sicurezza AI Bitcoin scopre quasi 5.000 vulnerabilità software in 390 progetti

Una campagna coordinata per la sicurezza di Bitcoin ha scoperto quasi 5.000 vulnerabilità software in centinaia di progetti open-source in circa 30 ore. L'iniziativa ha combinato l'esperienza umana con strumenti di intelligenza artificiale per individuare le debolezze nei software.

L'iniziativa ha riunito 16 ricercatori di sicurezza guidati dallo sviluppatore Calle, con il supporto di OpenSats, OpenCode e sponsor per l'AI inference. Il gruppo ha lavorato insieme in una revisione coordinata su centinaia di progetti legati a Bitcoin.

Analisi dei risultati

Il team ha riportato 4.962 vulnerabilità in 390 progetti legati a Bitcoin durante la campagna. Il totale includeva 85 problemi critici e 635 vulnerabilità di alta gravità, portando il numero dei report più gravi a 720.

La campagna ha mantenuto un ritmo elevato, con una media di circa 166 vulnerabilità segnalate ogni ora durante la revisione. Sulla base dei dati pubblicati, il team ha identificato circa 2,3 vulnerabilità critiche o di alta gravità per ogni ora-persona dedicata all’analisi del software.

I ricercatori hanno affermato che la campagna si è differenziata da un tradizionale audit di sicurezza perché i revisori umani hanno guidato attivamente i sistemi di AI durante i test. Ogni partecipante ha utilizzato prompt e metodi differenti, contribuendo a scoprire debolezze che un singolo approccio avrebbe potuto trascurare.

Il conteggio finale includeva anche vulnerabilità individuate da un contributore prima dell'inizio ufficiale della campagna live. Dopo aver aggiunto questi risultati, le librerie crypto e i software development kit hanno registrato la quota maggiore di vulnerabilità con 1.385 problemi segnalati.

Cosa hanno svelato i risultati

Il team ha dichiarato che circa una vulnerabilità su sette segnalate rientrava nelle categorie di gravità alta o critica. Si riporta che solo un progetto revisionato abbia completato la campagna senza alcun problema segnalato, cosa che ha scatenato una battuta scherzosa da parte dello sviluppatore di Bitcoin Core Matt Corallo.

I ricercatori hanno già iniziato a inviare le vulnerabilità critiche verificate ai manutentori dei progetti interessati con dimostrazioni di retest a supporto come proof-of-concept. Si riporta che molti manutentori abbiano confermato rapidamente le segnalazioni, anche se gestire un volume così elevato rimane una sfida significativa.

La campagna arriva in un momento in cui la sicurezza del software Bitcoin riceve maggiore attenzione nell’ecosistema a seguito di diversi recenti incidenti di sicurezza. Separatamente, Bitcoin ha registrato circa 0,98 milioni di indirizzi attivi giornalieri il 31 luglio, il livello più alto da dicembre 2024. L’aumento è avvenuto dopo che alcuni attaccanti hanno iniziato a svuotare wallet i cui seed erano stati generati utilizzando un firmware Coldcard difettoso.