Bitcoin Magazine
L'équipe rouge de Bitcoin trouve 85 failles critiques dans 390 dépôts open source après l'exploitation de Coldcard
Rassemblée par la récente vulnérabilité catastrophique dans les portefeuilles matériels Coldcard, exploitée à hauteur de plus de 100 millions de dollars, la communauté Bitcoin s'est mobilisée pour prévenir de futures erreurs critiques dans le logiciel open source de l'industrie.
PSA : Tous les utilisateurs de portefeuilles Coldcard qui n'ont pas migré leur bitcoin vers de nouvelles graines générées dans un firmware sécurisé sont toujours à risque. Il n'est peut-être pas trop tard pour agir ; voir l'avis à ce sujet.
Dirigée par Calle, ingénieur logiciel, codeur passionné et créateur de la version Android de Bitchat, et Rob Hamilton, PDG d'Anchorwatch, une compagnie d'assurance de garde autonome pour Bitcoin, l'équipe rouge de Bitcoin a maintenant sécurisé un financement, avec plus de 40 000 $ dépensés en jetons d'IA pour auditer plus de 390 dépôts open source dans Bitcoin.
Communément appelée l'« équipe rouge de Bitcoin », avec des mèmes sur Rob Hamilton et Calle étant maintenant le PDG et le CTO de Bitcoin, cet audit de sécurité piloté par l'IA a un impact sérieux sur l'industrie. Il y a quelques jours, enfouie dans les nouvelles des vols en cours de bitcoin à partir de Coldcards MK3+ en raison d'un bug RNG, l'échange Boltz a annoncé qu'il suspendrait ses opérations pour rattraper les tentatives de piratage pilotées par l'IA.
« 27,5 heures plus tard, nous avons déposé 4 962 constatations sur 390 projets. 85 problèmes critiques et 635 problèmes de haute gravité. Nous en sommes à 2,31 constatations h+c par personne par heure », a déclaré Calle dans la mise à jour la plus récente sur les efforts de l'équipe rouge pour renforcer la cybersécurité de l'industrie.
L'effort de révision de la sécurité de l'équipe rouge utilise des modèles comme Kimi K3, GPT Sol, Fable, Opus et GLM5.2, certains des modèles les plus coûteux et à la pointe de la technologie sur le marché. Au début, l'accès aux modèles d'OpenAI et d'Anthropic était limité, ce qui a conduit à une dépendance excessive aux modèles open-source chinois, un fait que beaucoup dans l'industrie ont déploré et ont vu comme un mauvais présage pour la domination de l'IA américaine. Mais à mesure que le projet de l'équipe rouge a gagné en influence depuis le piratage de Coldcard la semaine dernière, des connexions ont été établies et confirmées avec OpenAI, donnant à l'équipe rouge accès à GPT Sol. La mention de Fable par Hamilton dans son tweet du 4 août suggère qu'un accès à Anthropic a également été établi.
Les dépenses qui ont été récemment évaluées à plus de 40 000 $ ont été couvertes par OpenSats, une organisation à but non lucratif 501c3 dédiée au financement de projets de développement Bitcoin open source. L'équipe rouge Bitcoin n'a actuellement pas de site Web ni de dépôt GitHub auquel se lier, mais l'équipe est composée de nombreux individus au sein de l'industrie Bitcoin. Les individus publiquement remerciés pour leur soutien incluent, mais ne se limitent pas à, danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.
Hamilton a partagé qu'un harnais personnalisé a été construit et évolue rapidement. Composé à un moment donné de 171 599 lignes de code, le harnais est conçu pour identifier et tester des bibliothèques logicielles Bitcoin critiques et du code à forte charge, identifier et documenter les vulnérabilités, les reproduire et emballer les données prouvées dans des rapports utiles. Livrant finalement les informations de manière responsable aux ingénieurs de l'industrie. Hamilton a également partagé que Red Team a l'intention de rendre le harnais open source afin que les entreprises Bitcoin puissent l'exécuter contre leur code propriétaire.
Red Team contacte activement des projets open source pertinents avec des vulnérabilités critiques découvertes, ce qui entraîne un large sentiment de peur chez les ingénieurs de l'industrie lorsqu'ils reçoivent des messages directs froids de Hamilton ou Calle, comme on le voit dans diverses captures d'écran humoristiques partagées sur les réseaux sociaux.
Parmi les principales informations partagées publiquement par Red Team alors que cette mise à jour de sécurité alimentée par l'IA de Bitcoin FOSS a lieu, Hamilton a partagé que les ingénieurs ayant des connaissances spécifiques pourraient parfois obtenir des résultats de grande valeur grâce au Harnais, qui pourrait autrement « sentir qu'il y a quelque chose qui ne va pas », mais pourrait manquer de contexte de niche. Une idée qui souligne l'importance d'avoir l'intelligence humaine et l'expérience travailler main dans la main avec l'IA pour identifier efficacement les vulnérabilités critiques.
Hamilton a également mis fin à un effort de plusieurs jours de l'équipe rouge après le piratage de Coldcard avec quelques notes personnelles. Il a déclaré que la vulnérabilité découverte dans les générateurs de nombres aléatoires de Coldcard et l'exploitation conséquente du bug par des hackers avaient été une « attaque spirituelle » contre Bitcoin et l'éthique de l'auto-garde de l'industrie, « je veux dire cela dans le sens littéral des mots ». Après avoir exprimé sa tristesse pour les pertes subies par de nombreux Bitcoiners lors de ce piratage désormais historique, Hamilton a clôturé son tweet avec un ton de résolution ferme :
« Bien que les choses ne soient pas faciles en ce moment. J'ai la conviction la plus forte de ma vie que l'idée et la technologie de Bitcoin valent la peine de se battre. À cette fin. Il n'y a pas de Bitcoin sans auto-garde. C'est non négociable. »
Ce post Bitcoin Red Team Finds 85 Critical Flaws Across 390 Open Source Repos After Coldcard Exploit est apparu pour la première fois sur Bitcoin Magazine et est écrit par Juan Galt.
Source : BitcoinMagazine
