Nhóm "red team" Bitcoin tình nguyện dùng AI hàng đầu phát hiện hơn chục lỗi nghiêm trọng

Một sáng kiến bảo mật do cộng đồng tự tổ chức nhằm xây dựng "red team" cho Bitcoin cho biết họ đã dùng các mô hình AI tuyến đầu để rà soát khoảng 150 kho mã nguồn liên quan đến Bitcoin và phát hiện hơn một chục lỗ hổng, cho thấy cuộc đua vũ trang AI trong an ninh crypto đang nóng lên. Rob Hamilton, CEO AnchorWatch và là người tham gia tổ chức hoạt động này, chia sẻ trên X rằng nhóm đã chi khoảng 20.000 USD cho các dịch vụ AI trong quá trình xây dựng nền tảng red team. "Chúng tôi làm việc liên tục, đến thời điểm này đã chi khoảng 20.000 USD cho nhiều dịch vụ khác nhau", ông viết, đồng thời cho biết nguồn kinh phí đã được đảm bảo và không cần quyên góp. Cách triển khai Nhóm red team sử dụng nhiều mô hình cao cấp để tự động hóa việc rà soát mã và tìm lỗ hổng, gồm Kimi K3, OpenAI GPT Sol, Anthropic Claude Fable và Opus, cùng GLM 5.2 của Z.ai. Hamilton cho biết nhóm còn phối hợp với OpenAI để vận hành "Cyber Harness" phục vụ các đợt quét nặng và tốn kém hơn. Theo ông, chi phí này xứng đáng khi áp dụng cho những phần "then chốt" của hệ sinh thái Bitcoin. Tổng cộng, sáng kiến đã quét khoảng 150 repository và gắn cờ hơn một chục lỗ hổng. Nhóm chưa công bố dự án bị ảnh hưởng cũng như chưa phát hành chi tiết kỹ thuật. Quy mô và chi phí Nhà phát triển Bitcoin ẩn danh Calle, một thành viên khác, cho biết nhóm đã xây dựng nhiều hệ thống rà soát dựa trên AI, nhắm vào ví, thư viện mật mã, hạ tầng và các dự án Bitcoin khác. "Chúng tôi đang đạt trung bình cỡ một khai thác nghiêm trọng mỗi giờ cho mỗi người", Calle viết trên X, đồng thời nói rằng nhóm đã báo cáo các lỗ hổng nghiêm trọng cho nhiều dự án trong khung thời gian 12 giờ. Calle cũng cảnh báo bài toán chi phí rất lớn: "Chúng tôi đang đốt 10.000 USD mỗi ngày." Vì sao đáng chú ý Thông tin này cho thấy AI đang nhanh chóng tái định hình cả phòng thủ lẫn tấn công trong bảo mật crypto. Kiểm toán có hỗ trợ AI có thể phát hiện lỗi nghiêm trọng nhanh hơn và trên quy mô lớn, nhưng các công cụ tương tự cũng nằm trong tay kẻ tấn công. Xu hướng này đã có tác động thực tế trong năm nay. Một nhóm nghiên cứu sử dụng Anthropic Claude Opus 4.8 phát hiện một lỗ hổng Zcash tồn tại 4 năm, có thể cho phép tạo ZEC giả. Tháng 8, Coinkite (nhà sản xuất Coldcard) cho biết họ tin rằng kẻ tấn công đã dùng AI để nhận diện một điểm yếu của Coldcard. Cầu nối Bitcoin Boltz từng tạm dừng swap với lý do kẻ tấn công đang dùng AI để tìm lỗ hổng nhanh hơn tốc độ vá của đội ngũ. Hoạt động của "red team" Bitcoin là lời nhắc rằng khi các dự án ngày càng phụ thuộc vào phần mềm và mật mã học, việc soi xét tự động theo hướng AI đang trở thành một lớp phòng thủ quan trọng, dù rất tốn kém. Các phát hiện và phương pháp của nhóm có thể thúc đẩy nhiều đội ngũ tăng cường dùng AI cho kiểm toán, đồng thời siết chặt quy trình công bố và khắc phục lỗ hổng, trong bối cảnh danh tính các dự án bị ảnh hưởng và chi tiết lỗi vẫn được giữ kín.