ביקורת אבטחת הסייבר של Bitcoin Red Team: 4,962 ממצאים, 85 פגיעות קריטיות תוך 27.5 שעות

בימים הראשונים של אוגוסט 2026, קבוצה של 16 חוקרי אבטחה מתנדבים, המכנים עצמם 'צוות ה-Red Team של ביטקוין' (Bitcoin Red Team), השיגה את מה שאף חברה או צוות פיתוח בודד לא יכלו לעשות לבד: הם עברו על 390 מאגרי קוד פתוח של פרויקטים הקשורים לביטקוין תוך 27.5 שעות וסימנו קרוב ל-5,000 בעיות אבטחה פוטנציאליות. ביקורת זו, שנעזרה בבינה מלאכותית, חשפה 85 פגיעות קריטיות ו-635 בחומרה גבוהה, ועוררה שיחות דחופות על תפקידה של בינה מלאכותית באבטחת קוד פתוח ועל מאמץ תעשייתי מתואם להבטיח גישה למודלי AI מתקדמים למגנים .

היקף התגלית

במהלך ספרינט של 27.5 שעות, בין ה-4 ל-5 באוגוסט 2026, הגיש ה-Bitcoin Red Team 4,962 ממצאי אבטחה בסך הכל, ב- 390 פרויקטי קוד פתוח של ביטקוין . מתוכם, 85 סווגו כ'קריטיים' (Critical) ו-635 כ'חומרה גבוהה' (High severity) – כלומר, 720 ממצאים (14.5% מהסך הכל) דורגו כחמורים או קריטיים . המשמעות היא ממוצע של 1.85 בעיות חמורות לכל פרויקט, וקצב הגשה של 166 ממצאים לשעה . ראש הצוות, המפתח קלה (Calle), דיווח על ממוצע של 2.31 ממצאים חמורים או קריטיים לאדם לשעה .

המאמץ עלה למעלה מ-40,000 דולר בטוקני מחשוב AI ומומן על ידי OpenSats (עמותה ללא מטרות רווח מסוג 501(c)(3)), OpenCode, ו-AnchorWatch . הצוות השתמש ברתמת אבטחה מותאמת אישית שבשלב מסוים הכילה 171,599 שורות קוד, ושילבה מודלי AI מתקדמים כולל Kimi K3, GPT Sol, Fable, Opus, ו-GLM5.2 לצורך ניתוח סטטי אוטומטי .

עד ה-14 באוגוסט 2026 – לאחר 108 שעות עבודה – הצוות הרחיב את הסקירה ל-501 פרויקטים ורשם 7,958 ממצאים בסך הכל, מתוכם 1,280 שסווגו כחומרה גבוהה או קריטית .

כיצד תהליך הביקורת עבד

ה-Bitcoin Red Team פעל כצוות מבוזר עולמי שעבד מסביב לשעון על פני אזורי זמן שונים . התהליך שילב סריקת קוד מבוססת AI עם פיקוח אנושי, אך נפח התוצאות יצר צוואר בקבוק משמעותי באימות.

שיעור השחזור (Reproduction rate). ב-29.8 השעות הראשונות, רק 21.4% מהממצאים שוחזרו בהצלחה על ידי סוקרים אנושיים – כלומר, הרוב המכריע נותרו בעיות פוטנציאליות לא מאומתות . בנקודת הזמן של 108 שעות, שיעור השחזור עלה ל-24.7% . הצוות הדגיש כי דירוגי החומרה הראשוניים הללו מייצגים הערכות ראשוניות, לא פגיעויות מאושרות .

דיווח כלפי מעלה (Upstream reporting). פחות מ-**5% מכלל 390 הפרויקטים שנבדקו קיבלו דיווח אחראי (upstream disclosure) על ממצאיהם בזמן הדיווח הראשוני, מה שמעיד על צבר משמעותי של דיווחים הממתינים לטיפול . הצוות הקפיד על תהליך גילוי אחראי: ממצאים קריטיים דווחו באופן פרטי למתחזקים לפני כל פרסום פומבי, והצוות בנה הוכחות היתכנות (Proof-of-Concept) עובדות לאישור הפגיעויות לפני הדיווח .

קטגוריות הפרויקטים המושפעות ביותר. לכלי פרטיות ו-Coinjoin היה השיעור הגבוה ביותר של ממצאים בדירוג חמור או קריטי – 24% . ספריות קריפטוגרפיות וערכות פיתוח (SDKs) הניבו את נפח הממצאים הגולמי הגדול ביותר, עם 1,101 ממצאים בסך הכל .

פרצת Coldcard שהציתה את הביקורת

הביקורת של Bitcoin Red Team הייתה תגובה ישירה לפרצת ה-RNG (מחולל מספרים אקראיים) בארנק החומרה Coldcard – פרצת קושחה קריטית ב-Coldcard של חברת Coinkite, שהפנתה בשקט את יצירת ה-Seed דרך PRNG תוכנה חלש במקום אקראיות חומרה, ממרץ 2021 ועד 2026 . הפרצה אפשרה גניבה של כ1,816 BTC (מעל 100 מיליון דולר) ממחזיקים לטווח ארוך .

למרות שבאג ה-Coldcard עצמו התגלה לפני הקמת הצוות, התקרית הדגימה כיצד פגיעות בודדת שלא תוקנה במכשיר קר אחסון מהימן ונפוץ עלולה להיות הרסנית. Coinkite פרסמה קושחה מתוקנת לאחר חשיפת הפרצה .

הביקורת של צוות ה-Red Team הייתה תגובת המערכת האקולוגית: ממצאים רבים מהסריקה בסיוע AI – כולל בעיות קריטיות בכלי פרטיות ותוכנת Coinjoin – תוקנו לאחר מכן על ידי המתחזקים, בעקבות גילוי אחראי .

תגובת התעשייה: דרישה לגישת AI למגנים

היקף וחומרת הממצאים של Bitcoin Red Team הובילו לתגובה תעשייתית מתואמת. ב-10 באוגוסט 2026, פרסם מכון מדיניות הביטקוין (Bitcoin Policy Institute – BPI) מכתב פתוח חתום על ידי יותר מ-70 ארגונים מרחבי המערכת האקולוגית של נכסים דיגיטליים, הקורא למעבדות ה-AI המובילות לפעול .

בין החותמות נמנו חברות אחסון (Custodians) גדולות, בורסות, חברות כרייה וקבוצות פיתוח קוד פתוח: Coinbase, Strategy (לשעבר MicroStrategy), Block, MARA, Galaxy, BitGo, Brink, OpenSats, Trezor, Kraken, Ledger, Anchorage Digital, ו-Chaincode Labs, בין היתר .

טיעון הליבה של המכתב היה ש**"מגני הקוד הפתוח תופסים כיום את העמדה המוחלשת ביותר בנוף אבטחת ה-AI"** . הדרישות המרכזיות היו:

• הענקת 'גישה מהימנה' (trusted access) למודלי AI מתקדמים למגני אבטחת קוד פתוח וביטקוין מאומתים – לא רק לגרסאות הזמינות לציבור, אלא למשקלי המודל המתקדמים וליכולות שתוקפים כבר משתמשים בהן .
• סגירת 'פער הגישה ל-AI' המתהווה – לשחקנים זדוניים יש גישה בלתי מוגבלת ל-AI מתקדם לצורך גילוי פגיעויות ופיתוח ניצול, בעוד שמגני המערכת האקולוגית מוגבלים למודלים חלשים יותר הזמינים לציבור .
• מתן גישה מוקדמת מבוקרת הכוללת גישה מוקדמת למודלים, כוח מחשוב, סביבות מאובטחות וערוצי תקשורת ישירים לחוקרי אבטחת קוד פתוח מוסמכים .

הקואליציה הזהירה שללא גישה זו, תשתית פיננסית קריטית הבנויה על תוכנת ביטקוין בקוד פתוח עומדת בפני איום א-סימטרי הולך וגובר, שבו תוקפים פועלים עם כלי AI מעולים בעוד המגנים מנועים משימוש בהם .

נקודת המפנה באבטחת קוד פתוח

הביקורת של Bitcoin Red Team הדגימה הן את הכוח והן את המגבלות של סריקת אבטחה בסיוע AI. היכולת לסמן קרוב ל-5,000 בעיות פוטנציאליות ב-390 פרויקטים תוך קצת יותר מיממה היא חסרת תקדים – אך שיעורי השחזור והדיווח הנמוכים חשפו כי אימות אנושי וגילוי אחראי נותרו צווארי הבקבוק הקריטיים .

הצוות הצהיר על כוונתו לשחרר את רתמת אבטחת ה-AI שלו כקוד פתוח כדי לחזק את ההגנה ברמת המערכת האקולוגית כולה . מהלך זה יאפשר לקהילת מפתחי הביטקוין הרחבה יותר להריץ סריקות דומות באופן עצמאי, ובכך להפוך ספרינט חד-פעמי לפרקטיקת אבטחה בת קיימא.

השאלה הבסיסית שנותרה ללא מענה: האם המגנים יקבלו את כלי ה-AI שהם צריכים לפני שהתוקפים יעשו זאת?