Добровольная "красная команда" Bitcoin с помощью frontier-ИИ нашла более десятка критических уязвимостей

Добровольная инициатива по созданию "красной команды" для экосистемы Bitcoin заявила, что использовала модели frontier-ИИ для анализа порядка 150 репозиториев и обнаружила свыше десятка уязвимостей. По словам организаторов, результаты подчеркивают усиливающуюся "гонку вооружений" в криптобезопасности, где ИИ ускоряет как аудит, так и атаки. Гендиректор AnchorWatch Роб Хэмилтон, участвовавший в организации проекта, сообщил в X, что команда уже потратила около $20 000 на ИИ-сервисы при разработке платформы red team. Он отметил, что работа ведется круглосуточно, финансирование обеспечено и пожертвования не требуются. Для автоматизации ревью кода и поиска уязвимостей использовались несколько моделей высокого класса: Kimi K3, OpenAI GPT Sol, Anthropic Claude Fable и Opus, а также GLM 5.2 от Z.ai. Хэмилтон добавил, что команда взаимодействовала с OpenAI, чтобы запустить "Cyber Harness" для более тяжелых и дорогих прогонов, назвав такие проверки оправданными для "несущих" компонентов биткоин-экосистемы. В общей сложности было просканировано около 150 репозиториев; обнаружено более десятка уязвимостей. Какие именно проекты затронуты и технические детали пока не раскрываются. Псевдонимный разработчик Bitcoin Calle, также участвующий в инициативе, рассказал, что группа собрала несколько ИИ-ориентированных систем проверки, нацеленных на кошельки, криптографические библиотеки, инфраструктуру и другие проекты вокруг Bitcoin. По его оценке, команда получает "примерно по одному критическому эксплойту в час на человека" и в течение 12 часов передала сообщения о критических проблемах в несколько проектов. Он также подчеркнул стоимость подхода: "мы сжигаем $10 000 в день". Ситуация иллюстрирует, как быстро ИИ меняет практику защиты и взлома в криптоиндустрии. ИИ-аудиты способны находить критические дефекты быстрее и в большем масштабе, но те же инструменты доступны злоумышленникам. В этом году исследователи, применившие Anthropic Claude Opus 4.8, обнаружили четырехлетнюю уязвимость Zcash, которая могла позволить выпуск поддельных ZEC. В августе производитель Coldcard, компания Coinkite, заявляла, что, по ее мнению, атакующие использовали ИИ для выявления уязвимости Coldcard. Мост Bitcoin Boltz приостанавливал свопы, указав, что атакующие применяют ИИ для поиска слабых мест быстрее, чем команда успевает выпускать исправления. Работа добровольной "красной команды" показывает: по мере роста зависимости проектов от ПО и криптографии автоматизированная, ИИ-управляемая проверка становится важным, хотя и дорогим, уровнем защиты. Итоги инициативы могут подтолкнуть больше команд к использованию ИИ в аудитах и к усилению процедур раскрытия и устранения уязвимостей, хотя названия затронутых проектов и точные дефекты пока остаются конфиденциальными.