كان النطاق غير مسبوق: 16 مساهماً (14 بشرياً و3 وكلاء ذكاء اصطناعي) يعملون على مدار الساعة، مع التقاط 91% من النتائج من خلال المسح الآلي . تم تمويل الجهود من قبل OpenSats، وهي منظمة غير ربحية، والتي أنفقت أكثر من 40,000 دولار على تكاليف الحوسبة للذكاء الاصطناعي . استخدم الفريق أداة أمنية مخصصة مكونة من 171,599 سطراً، ونماذج متعددة بما في ذلك Kimi K3 وGPT Sol وFable وOpus وGLM5.2 .

الأرقام: 4,962 نتيجة في 27.5 ساعة

في أول 27.5 ساعة من التشغيل، رفع الفريق 4,962 نتيجة أمنية إجمالية عبر 390 مشروعاً . من بينها، تم تصنيف 85 على أنها حرجة و635 على أنها عالية الخطورة، مما يشكل معاً 14.5% من جميع النتائج — بمتوسط 1.85 مشكلة خطيرة لكل مشروع وبمعدل 166 نتيجة في الساعة .

ومع ذلك، تأتي هذه الأرقام الأولية مع تحذير مهم. وفقاً للتقارير المبكرة، تم إعادة إنتاج 21.4% فقط من النتائج بنجاح بواسطة المراجعين البشريين، مما يعني أن العدد القابل للاستغلال مؤكداً أقل بكثير من العدد الإجمالي . شدد الفريق على أن التقارير الناتجة عن الذكاء الاصطناعي لا تزال تتطلب تحققاً بشرياً لتحديد قابلية الاستغلال في العالم الحقيقي.

توسعة التدقيق

بحلول 14 أغسطس 2026، وسع الفريق مسحه ليشمل 501 مشروعاً على مدى 108 ساعات، مسجلاً 7,958 نتيجة مع تصنيف 1,280 منها على أنها عالية أو حرجة . في ذلك الوقت، تم إعادة إنتاج 24.7% من جميع النتائج ديناميكياً وتم الإبلاغ عن 29.4% من النتائج للمشرفين على المشاريع . كانت أدوات الخصوصية والـ coinjoin تحتوي على أعلى نسبة من النتائج العالية أو الحرجة بنسبة 24% .

ثغرة BTCPay Server — تأثير حقيقي

كانت أهم نتيجة ملموسة للتدقيق هي اكتشاف ثغرة حرجة في BTCPay Server، وهو معالج دفع بيتكوين مفتوح المصدر يستخدمه التجار في جميع أنحاء العالم. في 7-8 أغسطس 2026، استغل المهاجمون ثغرة سمحت لهم باستخراج بيانات اعتماد LND (Lightning Network Daemon) admin macaroon من خوادم BTCPay Server — وهي مفاتيح المصادقة الأساسية التي تتحكم في عُقد Lightning .

بهذه البيانات، تمكن المهاجمون من الاتصال عن بُعد بعُقد LND الخاصة بالضحايا وسحب الأموال من قنوات Lightning دون أي مصادقة . تضمنت الكيانات المتأثرة مؤسسة BTCPay Server نفسها و Citadel21، وهو مركز مجتمعي يركز على البيتكوين .

تم الإبلاغ عن الثغرة بطريقة مسؤولة من قبل مطور Sparrow Wallet، كريغ راو، وفريق Bitcoin Red Team . أصدر BTCPay Server إصلاحاً طارئاً في الإصدار 2.4.2 وحث جميع المستخدمين على الترقية فوراً أو إيقاف تشغيل خوادمهم مؤقتاً .

رداً على ذلك، عرضت مؤسسة BTCPay Server مكافأة استرداد تصل إلى 3 بيتكوين (حوالي 190,000 دولار في ذلك الوقت)، تمثل 10% من أي أموال يتم استردادها . كما تبرعت المؤسسة بـ 0.21 بيتكوين لكل من كريغ راو وفريق Bitcoin Red Team للإبلاغ المسؤول .

أوبن إيه آي تمنع الباحث الرئيسي — مما يضطر الفريق للتحول إلى الذكاء الاصطناعي الصيني

برزت نقطة اشتعال سياسية كبيرة فوراً بعد التدقيق. في 9 أغسطس 2026، منعت OpenAI روب هاميلتون من استخدام برنامج 'Trusted Access for Cyber' الخاص بها — على الرغم من أنه أكمل عملية التحقق والتسجيل — مما منعه من مواصلة أبحاث ثغرات البيتكوين على نماذج OpenAI .

أفاد هاميلتون أنه بدأ في دمج إمكانيات OpenAI يوم السبت فقط ليجد وصوله مقيداً في صباح اليوم التالي . كتب على منصة X: "إنه أمر يدمي قلبي كأمريكي وطني أن أفعل هذا"، معلناً عودته لاستخدام النماذج الصينية مفتوحة المصدر لمواصلة حماية بنية البيتكوين التحتية .

نقل فريق Bitcoin Red Team أبحاثه إلى نموذج Kimi K3 مفتوح الأوزان من Moonshot AI، وهو نموذج لغوي كبير صيني مفتوح المصدر . صرح هاميلتون علناً أن المتسللين الخصوم لديهم بالفعل وصول غير مقيد إلى أدوات الذكاء الاصطناعي المتطورة بينما يتم إغلاق الباب أمام المدافعين .

تحالف صناعي يطالب بإتاحة الذكاء الاصطناعي للمدافعين

في 13-14 أغسطس 2026، قام معهد سياسات البيتكوين (BPI) بتنسيق خطاب مفتوح وقعه أكثر من 40 شركة عملات رقمية — بما في ذلك Coinbase وBlock وBitGo وBlockstream وAnchorage Digital وARK Invest وBitwise وFoundry وCasa وExodus — يطالبون فيه مختبرات الذكاء الاصطناعي الرائدة (OpenAI وAnthropic وغيرها) بتوفير وصول مبكر خاضع للرقابة إلى نماذج الذكاء الاصطناعي المتطورة لباحثي الأمن مفتوح المصدر الموثوقين .

جادل الموقعون بأن المهاجمين لديهم بالفعل إمكانية الوصول إلى أحدث تقنيات الذكاء الاصطناعي، مما يخلق فجوة أمنية غير متكافئة حيث يُحرم المدافعون ذوو القبعة البيضاء من نفس الأدوات اللازمة لاكتشاف الثغرات وإصلاحها قبل استغلالها . لم يطلب الخطاب من مختبرات الذكاء الاصطناعي إزالة إجراءات السلامة تماماً، بل اقترح بدلاً من ذلك إنشاء برامج وصول موثوقة منظمة مع أطر للتحقق، ومساحات خاصة لمراجعة الكود، وقنوات اتصال مع فرق السلامة في المختبرات .

كان النطاق غير مسبوق: 16 مساهماً (14 بشرياً و3 وكلاء ذكاء اصطناعي) يعملون على مدار الساعة، مع التقاط 91% من النتائج من خلال المسح الآلي . تم تمويل الجهود من قبل OpenSats، وهي منظمة غير ربحية، والتي أنفقت أكثر من 40,000 دولار على تكاليف الحوسبة للذكاء الاصطناعي . استخدم الفريق أداة أمنية مخصصة مكونة من 171,599 سطراً، ونماذج متعددة بما في ذلك Kimi K3 وGPT Sol وFable وOpus وGLM5.2 .

الأرقام: 4,962 نتيجة في 27.5 ساعة

في أول 27.5 ساعة من التشغيل، رفع الفريق 4,962 نتيجة أمنية إجمالية عبر 390 مشروعاً . من بينها، تم تصنيف 85 على أنها حرجة و635 على أنها عالية الخطورة، مما يشكل معاً 14.5% من جميع النتائج — بمتوسط 1.85 مشكلة خطيرة لكل مشروع وبمعدل 166 نتيجة في الساعة .

ومع ذلك، تأتي هذه الأرقام الأولية مع تحذير مهم. وفقاً للتقارير المبكرة، تم إعادة إنتاج 21.4% فقط من النتائج بنجاح بواسطة المراجعين البشريين، مما يعني أن العدد القابل للاستغلال مؤكداً أقل بكثير من العدد الإجمالي . شدد الفريق على أن التقارير الناتجة عن الذكاء الاصطناعي لا تزال تتطلب تحققاً بشرياً لتحديد قابلية الاستغلال في العالم الحقيقي.

توسعة التدقيق

بحلول 14 أغسطس 2026، وسع الفريق مسحه ليشمل 501 مشروعاً على مدى 108 ساعات، مسجلاً 7,958 نتيجة مع تصنيف 1,280 منها على أنها عالية أو حرجة . في ذلك الوقت، تم إعادة إنتاج 24.7% من جميع النتائج ديناميكياً وتم الإبلاغ عن 29.4% من النتائج للمشرفين على المشاريع . كانت أدوات الخصوصية والـ coinjoin تحتوي على أعلى نسبة من النتائج العالية أو الحرجة بنسبة 24% .

ثغرة BTCPay Server — تأثير حقيقي

كانت أهم نتيجة ملموسة للتدقيق هي اكتشاف ثغرة حرجة في BTCPay Server، وهو معالج دفع بيتكوين مفتوح المصدر يستخدمه التجار في جميع أنحاء العالم. في 7-8 أغسطس 2026، استغل المهاجمون ثغرة سمحت لهم باستخراج بيانات اعتماد LND (Lightning Network Daemon) admin macaroon من خوادم BTCPay Server — وهي مفاتيح المصادقة الأساسية التي تتحكم في عُقد Lightning .

بهذه البيانات، تمكن المهاجمون من الاتصال عن بُعد بعُقد LND الخاصة بالضحايا وسحب الأموال من قنوات Lightning دون أي مصادقة . تضمنت الكيانات المتأثرة مؤسسة BTCPay Server نفسها و Citadel21، وهو مركز مجتمعي يركز على البيتكوين .

تم الإبلاغ عن الثغرة بطريقة مسؤولة من قبل مطور Sparrow Wallet، كريغ راو، وفريق Bitcoin Red Team . أصدر BTCPay Server إصلاحاً طارئاً في الإصدار 2.4.2 وحث جميع المستخدمين على الترقية فوراً أو إيقاف تشغيل خوادمهم مؤقتاً .

رداً على ذلك، عرضت مؤسسة BTCPay Server مكافأة استرداد تصل إلى 3 بيتكوين (حوالي 190,000 دولار في ذلك الوقت)، تمثل 10% من أي أموال يتم استردادها . كما تبرعت المؤسسة بـ 0.21 بيتكوين لكل من كريغ راو وفريق Bitcoin Red Team للإبلاغ المسؤول .

أوبن إيه آي تمنع الباحث الرئيسي — مما يضطر الفريق للتحول إلى الذكاء الاصطناعي الصيني

برزت نقطة اشتعال سياسية كبيرة فوراً بعد التدقيق. في 9 أغسطس 2026، منعت OpenAI روب هاميلتون من استخدام برنامج 'Trusted Access for Cyber' الخاص بها — على الرغم من أنه أكمل عملية التحقق والتسجيل — مما منعه من مواصلة أبحاث ثغرات البيتكوين على نماذج OpenAI .

أفاد هاميلتون أنه بدأ في دمج إمكانيات OpenAI يوم السبت فقط ليجد وصوله مقيداً في صباح اليوم التالي . كتب على منصة X: "إنه أمر يدمي قلبي كأمريكي وطني أن أفعل هذا"، معلناً عودته لاستخدام النماذج الصينية مفتوحة المصدر لمواصلة حماية بنية البيتكوين التحتية .

نقل فريق Bitcoin Red Team أبحاثه إلى نموذج Kimi K3 مفتوح الأوزان من Moonshot AI، وهو نموذج لغوي كبير صيني مفتوح المصدر . صرح هاميلتون علناً أن المتسللين الخصوم لديهم بالفعل وصول غير مقيد إلى أدوات الذكاء الاصطناعي المتطورة بينما يتم إغلاق الباب أمام المدافعين .

تحالف صناعي يطالب بإتاحة الذكاء الاصطناعي للمدافعين

في 13-14 أغسطس 2026، قام معهد سياسات البيتكوين (BPI) بتنسيق خطاب مفتوح وقعه أكثر من 40 شركة عملات رقمية — بما في ذلك Coinbase وBlock وBitGo وBlockstream وAnchorage Digital وARK Invest وBitwise وFoundry وCasa وExodus — يطالبون فيه مختبرات الذكاء الاصطناعي الرائدة (OpenAI وAnthropic وغيرها) بتوفير وصول مبكر خاضع للرقابة إلى نماذج الذكاء الاصطناعي المتطورة لباحثي الأمن مفتوح المصدر الموثوقين .

جادل الموقعون بأن المهاجمين لديهم بالفعل إمكانية الوصول إلى أحدث تقنيات الذكاء الاصطناعي، مما يخلق فجوة أمنية غير متكافئة حيث يُحرم المدافعون ذوو القبعة البيضاء من نفس الأدوات اللازمة لاكتشاف الثغرات وإصلاحها قبل استغلالها . لم يطلب الخطاب من مختبرات الذكاء الاصطناعي إزالة إجراءات السلامة تماماً، بل اقترح بدلاً من ذلك إنشاء برامج وصول موثوقة منظمة مع أطر للتحقق، ومساحات خاصة لمراجعة الكود، وقنوات اتصال مع فرق السلامة في المختبرات .