Bitcoin Red Teams AI-revision fandt 85 kritiske sårbarheder: Her er, hvad der skete efter $116M Coldcard-hacket

Hvordan reagerede den på Coldcard-tegnebogshacket?

Kampagnen var en direkte reaktion på Coldcard-hardwaretegnebogseksploiteringen i juli 2026 . Her er, hvad der skete med det hack:

• Sårbarheden: En firmwarefejl introduceret i Coldcard firmware version 4.0.0 (marts 2021) fik enheden til at omgå sin dedikerede hardware-tilfældighedsgenerator under oprettelse af seed-fraser . Dette gjorde tegnebogens seed-fraser forudsigelige – nøglestyrken faldt fra 128 bit til så lidt som 40 bit .
• Angrebet: Begyndende 30. juli 2026 udnyttede angribere denne fejl til at dræne midler fra tusindvis af tegnebøger. Den første bølge ramte 1.196 adresser på bare 41 minutter og stjal 1.082,65 BTC (~$70M på det tidspunkt) .
• Samlede tab: Flere bølger bragte det samlede beløb over $116 millioner på tværs af over 5.200 adresser, med nogle estimater på over $130 millioner, efterhånden som angrebet fortsatte . Mindst et dusin forskellige hackere var involveret .
• Coinkites svar: Virksomheden opfordrede brugerne til at opdatere firmware og flytte midler, men på det tidspunkt var meget af skaden allerede sket .

Som svar iværksatte Bitcoin Red Team sin revision for at finde lignende fejl i tilfældighedsgeneratorer, svag kryptografisk praksis og andre systemiske fejl, før angribere kunne udnytte dem .

Vigtigste resultater og metoder

Resultater

Det enorme antal – næsten 5.000 rapporter på en dag – skabte et stort triage-problem for downstream-vedligeholdere . Kun omkring hvert femte resultat blev bekræftet som reproducerbart, men gruppen argumenterede for, at det var berettiget at markere grænsetilfælde i betragtning af Coldcard-angrebets alvor .

Metoder

• Holdet brugte open weight AI-modeller til at scanne kodebaser for kendte sårbarhedsmønstre, kryptografiske svagheder og logikfejl .
• Menneskelige forskere guidede AI'en, validerede resultater og indsendte ansvarlige offentliggørelsesrapporter .
• Gruppen planlægger at gøre sin AI-sikkerhedssele open source, så det bredere samfund kan fortsætte automatiseret scanning .
• De fokuserede på tegnebøger, kryptografiske biblioteker og Bitcoin-infrastrukturprojekter – den slags kode, der, hvis den er fejlbehæftet, kunne føre til et andet Coldcard-skala-tab .

Hvorfor OpenAI tilbagekaldte hovedforskerens adgang midt i projektet

Rob Hamilton (AnchorWatch CEO og kampagnens medleder) havde tilmeldt sig OpenAIs "Trust Cyber"-program, som giver godkendte sikkerhedsforskere subsidieret API-adgang til sårbarhedsforskning . Den 8./9. august 2026, efter at han allerede havde integreret programmet i sin arbejdsgang og indsendt gyldige offentliggørelser, tilbagekaldte OpenAI hans adgang uden forklaring .

• Hamilton offentligt erklærede, at han blev "blokeret fra at udføre yderligere analyse af en kodebase, som jeg allerede har ansvarligt offentliggjort om, og har modtaget bekræftelse på, at der var legitime resultater" .
• Tilbagekaldelsen tvang Bitcoin Red Team til at skifte til mindre restriktive AI-modeller, herunder kinesiske open weight-alternativer, et skift, der blev bredt bemærket og kritiseret som et tilbageslag for amerikansk AI-konkurrenceevne inden for sikkerhedsforskning .
• OpenAI har ikke offentligt redegjort for sin begrundelse. Virksomhedens Researcher Access Program FAQ bemærker, at kreditter gives efter eget skøn og kan trækkes tilbage, men ingen specifik politikovertrædelse fra Hamilton er blevet citeret .