Bitcoin Red Teamin tekoälyauditointi löysi 85 kriittistä haavoittuvuutta 390 Bitcoin-projektista

Miten kampanja vastasi Coldcard-lompakon murtamiseen?

Kampanja oli suora vastaus heinäkuun 2026 Coldcard-laitteistolompakon hyväksikäyttöön . Tässä on mitä murtamisessa tapahtui:

• Haavoittuvuus: Maaliskuussa 2021 Coldcardin laiteohjelmistoversiossa 4.0.0 käyttöön otettu ohjelmistovirhe sai laitteen ohittamaan oman laitteistopohjaisen satunnaislukugeneraattorinsa siemenlauseen luonnin aikana . Tämä teki lompakon siemenlauseista ennustettavia – avainten vahvuus putosi 128 bitistä jopa 40 bittiin .
• Hyökkäys: 30. heinäkuuta 2026 alkaen hyökkääjät käyttivät tätä virhettä hyväkseen tyhjentääkseen varoja tuhansista lompakoista. Ensimmäinen aalto osui 1 196 osoitteeseen vain 41 minuutissa ja varasti 1 082,65 BTC (tuolloin noin 70 miljoonaa dollaria) .
• Kokonaistappiot: Useat aallot nostivat kokonaissumman yli 116 miljoonaan dollariin yli 5 200 osoitteesta, ja joidenkin arvioiden mukaan tappiot ylittivät 130 miljoonaa dollaria hyökkäyksen jatkuessa . Ainakin tusina eri hakkeria oli osallisena .
• Coinkiten vastaus: Yritys kehotti käyttäjiä päivittämään laiteohjelmiston ja siirtämään varat, mutta siinä vaiheessa suuri osa vahingosta oli jo tapahtunut .

Vastauksena Bitcoin Red Team käynnisti auditointinsa löytääkseen samankaltaisia satunnaislukugeneraattorivirheitä, heikkoja kryptografisia käytäntöjä ja muita systeemisiä puutteita ennen kuin hyökkääjät ehtivät hyödyntää niitä .

Keskeiset löydökset ja menetelmät

Löydökset

Valtava määrä – lähes 5 000 raporttia päivässä – loi merkittävän luokitteluongelman ylläpitäjille . Vain noin joka viides löydös vahvistettiin toistettavaksi, mutta ryhmä perusteli, että rajatapausten ilmoittaminen oli perusteltua Coldcard-hyökkäyksen vakavuuden vuoksi .

Menetelmät

• Ryhmä käytti avoimen painon tekoälymalleja skannatakseen koodikantoja tunnettujen haavoittuvuusmallien, kryptografisten heikkouksien ja logiikkavirheiden varalta .
• Ihmistutkijat ohjasivat tekoälyä, vahvistivat tuloksia ja tekivät vastuullisia ilmoitusraportteja .
• Ryhmä aikoo avata lähdekoodinsa tekoälyn tietoturvavaljaista, jotta laajempi yhteisö voi jatkaa automatisoitua skannausta .
• He keskittyivät lompakoihin, kryptografisiin kirjastoihin ja Bitcoin-infrastruktuuriprojekteihin – sellaiseen koodiin, joka virheellisenä voisi johtaa toiseen Coldcardin kaltaiseen tappioon .

Miksi OpenAI peruutti johtavan tutkijan käyttöoikeuden kesken projektin?

Rob Hamilton (AnchorWatchin toimitusjohtaja ja kampanjan toinen johtaja) oli liittynyt OpenAI:n "Trust Cyber" -ohjelmaan, joka myöntää hyväksytyille tietoturvatutkijoille subventoitua API-pääsyä haavoittuvuustutkimukseen . 8.–9. elokuuta 2026, sen jälkeen kun hän oli jo integroinut ohjelman työnkulkuunsa ja tehnyt todellisia ilmoituksia, OpenAI peruutti hänen pääsynsä ilman selitystä .

• Hamilton totesi julkisesti, että hänet "estettiin tekemästä lisäanalyyseja koodikannasta, jolle olen jo tehnyt vastuullisia ilmoituksia ja saanut vahvistuksen, että löydökset ovat aitoja" .
• Peruutus pakotti Bitcoin Red Teamin siirtymään vähemmän rajoittaviin tekoälymalleihin, mukaan lukien kiinalaisiin avoimen painon vaihtoehtoihin, mikä noteerattiin laajalti ja kritisoitiin Yhdysvaltojen tekoälyn kilpailukyvyn takaiskuna tietoturvatutkimuksessa .
• OpenAI ei ole julkisesti kertonut perustelujaan. Yrityksen Researcher Access Program -FAQ:ssa todetaan, että hyvitykset myönnetään harkinnanvaraisesti ja ne voidaan peruuttaa, mutta Hamiltonin osalta ei ole viitattu mihinkään tiettyyn käytäntörikkomukseen .