فريق الأمن التطوعي "بيتكوين ريد تيم" يكشف عن 4,962 ثغرة في 390 مشروعًا مفتوح المصدر بمساعدة الذكاء الاصطناعي

في أوائل أغسطس 2026، حققت مجموعة تطوعية مكونة من 16 باحثًا أمنيًا — أطلقوا على أنفسهم اسم "بيتكوين ريد تيم" — ما لم تستطع أي شركة أو فريق تطوير منفرد تحقيقه: فحصوا 390 مستودعًا مفتوح المصدر لمشاريع بيتكوين في 27.5 ساعة وحددوا ما يقرب من 5,000 مشكلة أمنية محتملة. كشف تدقيقهم المعزز بالذكاء الاصطناعي عن 85 ثغرة خطيرة و635 عالية الخطورة، مما أثار نقاشات عاجلة حول دور الذكاء الاصطناعي في أمن المصادر المفتوحة ودفع نحو حملة منسقة لمنح المدافعين إمكانية الوصول إلى أحدث نماذج الذكاء الاصطناعي .

حجم الاكتشاف

على مدار 27.5 ساعة في 4-5 أغسطس 2026، سجل فريق "بيتكوين ريد تيم" 4,962 اكتشافًا أمنيًا إجماليًا عبر 390 مشروع بيتكوين مفتوح المصدر . من بين هذه الاكتشافات، تم تصنيف 85 كحرجة و635 كعالية الخطورة — مما يعني أن 720 اكتشافًا (14.5% من الإجمالي) تم تقييمها على أنها عالية أو حرجة . وهذا يعادل متوسط 1.85 مشكلة خطيرة لكل مشروع ومعدل تقديم يبلغ 166 اكتشافًا في الساعة . أعلن قائد الفريق، المطور "كالي"، عن متوسط 2.31 اكتشاف عالي أو خطير لكل شخص في الساعة .

كلف هذا الجهد أكثر من 40,000 دولار أمريكي كرموز حوسبة للذكاء الاصطناعي، بتمويل من منظمة OpenSats (وهي منظمة غير ربحية 501(c)(3)) ومنصتي OpenCode وAnchorWatch . استخدم الفريق أداة أمنية مخصصة تحتوي في مرحلة ما على 171,599 سطرًا من التعليمات البرمجية، ودمجت نماذج الذكاء الاصطناعي الرائدة مثل Kimi K3 وGPT Sol وFable وOpus وGLM5.2 لإجراء تحليل ثابت آلي .

بحلول 14 أغسطس 2026 — بعد 108 ساعات من العمل — وسع الفريق المراجعة لتشمل 501 مشروعًا وسجل 7,958 اكتشافًا إجماليًا، منها 1,280 مصنفة على أنها عالية أو خطيرة .

آلية عمل التدقيق

عمل فريق "بيتكوين ريد تيم" كفريق موزع عالميًا يعمل على مدار الساعة عبر مناطق زمنية مختلفة . جمعت العملية بين المسح الآلي للكود باستخدام الذكاء الاصطناعي والإشراف البشري، لكن حجم النتائج خلق عنق زجاجة كبير في عملية التحقق.

معدل إعادة الإنتاج. في أول 29.8 ساعة، تم بنجاح إعادة إنتاج 21.4% فقط من الاكتشافات بواسطة المراجعين البشريين — مما يعني أن الغالبية العظمى ظلت مشكلات محتملة غير مؤكدة . عند علامة 108 ساعة، ارتفعت نسبة إعادة الإنتاج إلى 24.7% . أكد الفريق أن تقييمات الخطورة الأولية هذه كانت تمثل تقديرات مبدئية، وليست ثغرات مؤكدة .

الإبلاغ المسؤول. أقل من 5% من المشاريع التي تمت مراجعتها والبالغ عددها 390 مشروعًا تلقت إفصاحًا مسؤولًا عن اكتشافاتها في وقت الإبلاغ الأولي، مما يشير إلى تراكم كبير في عملية الإفصاح المسؤول . اتبع الفريق عملية إفصاح صارمة: تم الإبلاغ عن الاكتشافات الخطيرة بشكل خاص للمسؤولين عن المشاريع قبل أي إصدار عام، وقام الفريق ببناء أدلة إثبات اختراق عملية لتأكيد الثغرات قبل الإفصاح .

الفئات الأكثر تضررًا. حملت أدوات الخصوصية والعملات المجهزة (Coinjoin) أعلى نسبة من الاكتشافات المصنفة عالية أو خطيرة بنسبة 24% . أنتجت مكتبات التشفير ومجموعات تطوير البرمجيات (SDKs) أكبر حجم إجمالي، حيث بلغ 1,101 اكتشافًا .

ثغرة كولد كارد التي أشعلت شرارة التدقيق

كان تدقيق فريق "بيتكوين ريد تيم" ردًا مباشرًا على ثغرة مولد الأرقام العشوائية (RNG) في محفظة كولد كارد — وهو عيب خطير في البرامج الثابتة (Firmware) لمحفظة Coinkite's Coldcard، حيث كان يوجه عملية توليد المفاتيح بشكل صامت عبر مولد أرقام عشوائية برمجي ضعيف بدلاً من العشوائية المعتمدة على الأجهزة منذ مارس 2021 وحتى 2026 . مكّن هذا الاستغلال من سرقة ما يقرب من 1,816 بيتكوين (أكثر من 100 مليون دولار أمريكي) من حائزي المحفظة على المدى الطويل .

على الرغم من أن ثغرة كولد كارد تم اكتشافها قبل تشكيل فريق "ريد تيم"، إلا أن الحادثة أظهرت كيف يمكن لثغرة واحدة غير مصححة في جهاز تخزين بارد موثوق على نطاق واسع أن تتسبب في خسائر فادحة. أصدرت Coinkite برامج ثابتة محدثة بعد الإفصاح عن الثغرة .

كان تدقيق الفريق هو رد فعل النظام البيئي: تم إصلاح العديد من الاكتشافات الناتجة عن الفحص المعزز بالذكاء الاصطناعي — بما في ذلك المشكلات الحرجة في أدوات الخصوصية والعملات المجهزة — من قبل المسؤولين بعد الإفصاح المسؤول .

رد فعل القطاع: المطالبة بإمكانية الوصول إلى الذكاء الاصطناعي للمدافعين

دفع حجم وخطورة اكتشافات فريق "بيتكوين ريد تيم" إلى تحرك منسق من القطاع. في 10 أغسطس 2026، نشر معهد سياسات البيتكوين (Bitcoin Policy Institute - BPI) خطابًا مفتوحًا وقعه أكثر من 70 مؤسسة من جميع أنحاء منظومة الأصول الرقمية، يدعو مختبرات الذكاء الاصطناعي الرائدة إلى اتخاذ إجراءات محددة .

شمل الموقعون كبار الأمناء (Custodians)، بورصات العملات الرقمية، شركات التعدين، ومجموعات تطوير المصادر المفتوحة: Coinbase، Strategy (سابقًا MicroStrategy)، Block، MARA، Galaxy، BitGo، Brink، OpenSats، Trezor، Kraken، Ledger، Anchorage Digital، وChaincode Labs من بين آخرين .

كانت الحجة الأساسية للخطاب أن "المدافعين عن المصادر المفتوحة يحتلون اليوم الموقع الأقل امتيازًا في مشهد أمن الذكاء الاصطناعي" . كانت المطالب الرئيسية:

• منح المدافعين الأمنيين المعتمدين عن البيتكوين والمصادر المفتوحة "وصولًا موثوقًا" إلى نماذج الذكاء الاصطناعي المتطورة — وليس فقط الإصدارات المتاحة للجمهور، بل أحدث الأوزان والقدرات النموذجية التي يستخدمها المهاجمون بالفعل .
• سد "فجوة الوصول إلى الذكاء الاصطناعي" الناشئة — الجهات الخبيثة لديها وصول غير مقيد إلى أحدث تقنيات الذكاء الاصطناعي لاكتشاف الثغرات وتطوير الاستغلالات، بينما يقتصر دور المدافعين في النظام البيئي على نماذج أضعف ومتاحة للجمهور .
• توفير وصول مبكر خاضع للرقابة يشمل الوصول المبكر إلى النماذج، وقوة الحوسبة، وبيئات آمنة، وقنوات اتصال مباشرة للباحثين الأمنيين المؤهلين في مجال المصادر المفتوحة .

حذر التحالف من أنه بدون هذا الوصول، فإن البنية التحتية المالية الحيوية المبنية على برمجيات البيتكوين مفتوحة المصدر تواجه تهديدًا غير متماثل متصاعدًا حيث يعمل المهاجمون بأدوات ذكاء اصطناعي متفوقة بينما يُستبعد المدافعون .

نقطة التحول في أمن المصادر المفتوحة

أظهر تدقيق فريق "بيتكوين ريد تيم" قوة وقيود الفحص الأمني بمساعدة الذكاء الاصطناعي. القدرة على تحديد ما يقرب من 5,000 مشكلة محتملة في 390 مشروعًا في ما يزيد قليلاً عن يوم هي قدرة غير مسبوقة — لكن معدلات إعادة الإنتاج والإفصاح المنخفضة كشفت أن التحقق البشري والإفصاح المسؤول يظلان عنق الزجاجة الحرج .

أعلن الفريق عن خطط لجعل أداته الأمنية للذكاء الاصطناعي مفتوحة المصدر لتعزيز الدفاع على مستوى النظام البيئي بأكمله . وهذا من شأنه أن يسمح لمجتمع مطوري البيتكوين الأوسع بإجراء عمليات فحص مماثلة بشكل مستقل، مما قد يحول الجهد لمرة واحدة إلى ممارسة أمنية دائمة.

السؤال الأساسي الذي بقي دون إجابة: هل سيحصل المدافعون على أدوات الذكاء الاصطناعي التي يحتاجون إليها قبل المهاجمين؟