Команда Bitcoin Red Team
В 2026 году глобальная волонтерская группа Bitcoin Red Team, состоящая из 16 специалистов, начала крупномасштабный аудит экосистемы первой криптовалюты. Команда работает 24 часа в сутки, 7 дней в неделю, используя комбинацию искусственного интеллекта и ручной проверки.
Обнаруженные уязвимости
В течение первых 27,5 часов работы было зафиксировано 4 962 потенциальные проблема безопасности в 390 проектах. Из них 85 признано критическими, а 635 - высокими по уровню риска. По оценкам исследователей, в среднем один критический эксплойт находится в час на участника.
Только за первые 29,8 часа команда смогла воспроизвести 21,4 % обнаруженных уязвимостей; остальные находки ещё не подтверждены как реальные угрозы.
Кампания после атаки на Coldcard
Инициатива началась после того, как злоумышленники получили доступ к аппаратным кошелькам Coldcard, причиняя потери, превышающие 100 млн USD. Уязвимость проявлялась в изменениях прошивки 2021 года: вместо аппаратного генератора случайных чисел устройства иногда использовали предсказуемый программный генератор MicroPython. В результате энтропия сид-фраз снизилась со 128 бит до примерно 40 бит для моделей Mk2 и Mk3, и до 72 бит для Mk4, Mk5 и Q.
Coinkite выпустила исправленные прошивки, однако они не защищают уже созданные сид-фразы. Владельцам рекомендуют сгенерировать новые сид-фразы на обновлённом устройстве и перевести средства на другие адреса.
Подход и инструменты
Команда применяет метод red teaming - имитацию действий атакующего. Для этого разработаны тестовые инструменты, которые автоматически загружают код, ищут потенциально опасные участки и помогают воспроизводить атаки в локальной среде. При обнаружении уязвимости сначала пытаются воспроизвести её в работающем примере, а затем приватно передают отчёт разработчикам проекта.
В перечень проверяемых компонентов входят:
- криптографические библиотеки;
- кошельки;
- инфраструктурное ПО;
- другие проекты с открытым исходным кодом.
Обновления и координация
В ходе кампании команда уже сделала более 12 раз открытых раскрытий, проанализировав 150 репозиториев. Самая сложная часть работы - координация, чтобы довести информацию до нужных людей. Финансирование обеспечено, затраты до сих пор составили около 20 тыс. USD, но дальнейшие пожертвования не обязательны.
Другие исследования AI в безопасности
Команда Anthropic использовала модель Claude для поиска уязвимостей в браузере Firefox, выявив 22 потенциальные проблемы, 14 из которых Mozilla отнесла к высокой степени серьезности. В июле компания ForkLog проанализировала влияние искусственного интеллекта на рынок баг-баунти и нагрузку, которую он создает для разработчиков и специалистов по безопасности.