Группа волонтеров Bitcoin Red Team провела масштабный аудит безопасности, в ходе которого было выявлено 4962 уязвимости в кодах 390 проектов Bitcoin. Из них 720 имеют высокую или критическую степень серьезности.
Аудит, проведенный с использованием AI-агентов, зафиксировал 85 критических и 635 высокосерьезных уязвимостей, что составляет 14,5% от общего числа. В среднем на проект приходится 1,85 серьезной проблемы, а скорость подачи отчетов составила 166 находок в час.
Разработчик calle, создатель протокола Bitcoin ecash Cashu, опубликовал первый отчет о ситуации в среду. В команде сейчас 16 человек, работающих круглосуточно, и 17 участников, из которых 14 — люди, а 3 — автоматизированные системы.
Большая часть работы остается ручной, однако 91% находок поступило через автоматизированные сканеры. Calle отметил, что использование различных методов проверки от разных участников оказалось наиболее эффективным, так как это позволяет находить разные ошибки.
Наибольшее количество серьезных уязвимостей было выявлено в инструментах конфиденциальности и coinjoin — 24%, за ними следуют обмены и биржи с 21% и платежные инструменты с 17%. Криптографические библиотеки и SDK показали наибольшее количество находок — 1101, но только 10% из них были признаны высокосерьезными.
На данный момент только 19 проектов, менее 5% от всех проверенных, раскрыли свои находки. Calle выразил сожаление, что их отчеты добавляют стресса разработчикам, но подчеркнул, что именно владельцы проектов лучше всего могут подтвердить уязвимости.
Кампания проходит на фоне растущей критики безопасности Bitcoin. В марте 2021 года кошелек Coldcard потерял у пользователей около 130 миллионов долларов из-за уязвимости в прошивке, которая позволила получить доступ к приватным ключам.
Технический директор Ledger отметил, что инцидент показал, как AI может использоваться для выявления уязвимостей в криптокоде на скорости машинного анализа. Он добавил, что защита должна развиваться так же быстро, как и атаки, что демонстрирует работа Bitcoin Red Team.
Источники
Материал носит информационный характер и не является инвестиционной рекомендацией.