Bitcoin Red Team odhalil 85 kritických bezpečnostních děr. AI audit byl odpovědí na obří hack Coldcard peněženek

Co byl Bitcoin Red Team?

Bitcoin Red Team je dobrovolnická bezpečnostní iniciativa, kterou spoluvéde pseudonymní bitcoinový vývojář Calle a Rob Hamilton, generální ředitel bitcoinové úschovní společnosti AnchorWatch . Začátkem srpna 2026 skupina spustila rychlou AI-asistovanou bezpečnostní prověrku bitcoinového open source ekosystému. Během zhruba 27,5–30 hodin 16 bezpečnostních výzkumníků s pomocí AI modelů prověřilo 390 open source bitcoinových repozitářů a nahlásilo 4 962 nálezů zranitelností . Nezisková organizace OpenSats pokryla náklady na výpočetní výkon AI – přibližně 40 000 dolarů celkem, tedy zhruba 10 000 dolarů denně .

Jak iniciativa reagovala na hack Coldcard peněženek

Kampaň byla přímou reakcí na červencový exploit hardwarových peněženek Coldcard v roce 2026 . Zde je, co se při hacku stalo:

• Zranitelnost: Chyba ve firmwaru zavedená ve verzi 4.0.0 (březen 2021) způsobila, že zařízení při vytváření seed frází obešlo svůj vyhrazený hardwarový generátor náhodných čísel . Seed fráze se tak staly předvídatelnými – síla klíče klesla ze 128 bitů až na pouhých 40 bitů .
• Útok: Počínaje 30. červencem 2026 útočníci tuto chybu zneužili k vyčerpání prostředků z tisíců peněženek. První vlna zasáhla 1 196 adres za pouhých 41 minut a ukradla 1 082,65 BTC (tehdy ~70 milionů dolarů) .
• Celkové ztráty: Několik vln posunulo celkovou částku přes 116 milionů dolarů z více než 5 200 adres, přičemž některé odhady v souvislosti s pokračujícím útokem přesahují 130 milionů dolarů . Do akce bylo zapojeno nejméně tucet různých hackerů .
• Reakce Coinkite: Společnost vyzvala uživatele k aktualizaci firmwaru a převedení prostředků, ale v té době už byla většina škod napáchána .

Bitcoin Red Team v reakci na to spustil svůj audit, aby našel podobné chyby v generátorech náhodných čísel, slabé kryptografické postupy a další systémové nedostatky dříve, než by je mohli zneužít útočníci .

Klíčová zjištění a metody

Nálezy

Obrovský objem – téměř 5 000 hlášení za den – vytvořil pro správce závislých projektů zásadní problém s tříděním . Pouze asi jeden z pěti nálezů byl potvrzen jako reprodukovatelný, ale skupina argumentovala, že označování hraničních problémů bylo vzhledem k závažnosti útoku na Coldcard oprávněné .

Metody

• Tým používal open-weight AI modely k prohledávání kódových základen na známé vzorce zranitelností, kryptografické slabiny a logické chyby .
• Lidský výzkumníci řídili AI, validovali výsledky a podávali zprávy o odpovědném zveřejnění .
• Skupina plánuje vydat svůj AI bezpečnostní nástroj jako open source, aby širší komunita mohla pokračovat v automatizovaném skenování .
• Zaměřili se na peněženky, kryptografické knihovny a projekty bitcoinové infrastruktury – tedy typy kódu, které by v případě chyby mohly vést k dalším ztrátám v měřítku Coldcard .

Proč OpenAI uprostřed projektu zrušila přístup hlavnímu výzkumníkovi

Rob Hamilton (ředitel AnchorWatch a spoluvůdce kampaně) se zapsal do programu OpenAI "Trust Cyber" , který schváleným bezpečnostním výzkumníkům poskytuje dotovaný API přístup pro výzkum zranitelností . Dne 8.–9. srpna 2026, poté, co už program integroval do svého pracovního postupu a podal platná hlášení, mu OpenAI bez vysvětlení přístup zrušila .

• Hamilton veřejně uvedl, že mu bylo "zablokováno provádění další analýzy kódové základny, u které už jsem zodpovědně nahlásil nálezy a obdržel potvrzení, že jsou oprávněné" .
• Zrušení přístupu donutilo Bitcoin Red Team přejít na méně restriktivní AI modely, včetně čínských open-weight alternativ – tento posun byl široce zaznamenán a kritizován jako krok zpět pro konkurenceschopnost USA v oblasti bezpečnostního výzkumu s využitím AI .
• OpenAI své důvody veřejně neupřesnila. FAQ programu Researcher Access Program uvádí, že kredity jsou udělovány podle uvážení a mohou být odebrány, ale žádné konkrétní porušení pravidel ze strany Hamiltona nebylo uvedeno .