बिटकॉइन रेड टीम का AI ऑडिट: 27.5 घंटे में 4,962 खामियां, 85 क्रिटिकल फ्लॉ

अगस्त 2026 की शुरुआत में, 16 सुरक्षा शोधकर्ताओं के एक स्वयंसेवी समूह ने, जो खुद को 'बिटकॉइन रेड टीम' कहते हैं, वह कारनामा कर दिखाया जो कोई एक कंपनी या डेवलपमेंट टीम अकेले नहीं कर सकती थी: उन्होंने 27.5 घंटे में 390 ओपन-सोर्स बिटकॉइन रिपॉजिटरी को खंगाला और लगभग 5,000 संभावित सुरक्षा मुद्दों को चिह्नित किया। इस AI-असिस्टेड ऑडिट में 85 क्रिटिकल और 635 हाई-सीवियरिटी वल्नरेबिलिटी पाई गईं, जिसने ओपन-सोर्स सुरक्षा में आर्टिफिशियल इंटेलिजेंस की भूमिका पर तत्काल चर्चा छेड़ दी और डिफेंडर्स के लिए फ्रंटियर AI मॉडल तक पहुंच की मांग को जोरदार बना दिया ।

खोज का पैमाना

4-5 अगस्त, 2026 तक चले इस 27.5 घंटे के स्प्रिंट में, बिटकॉइन रेड टीम ने 390 ओपन-सोर्स बिटकॉइन प्रोजेक्ट्स में 4,962 कुल सुरक्षा निष्कर्ष दर्ज किए । इनमें से 85 को क्रिटिकल और 635 को हाई-सीवियरिटी के रूप में वर्गीकृत किया गया, यानी कुल 720 निष्कर्ष (14.5%) को गंभीर माना गया । यह आंकड़ा प्रति घंटे 166 निष्कर्ष दर्ज करने और प्रति प्रोजेक्ट औसतन 1.85 गंभीर समस्या के बराबर है । टीम के लीड कैले ने बताया कि प्रति व्यक्ति प्रति घंटे औसतन 2.31 उच्च-या-क्रिटिकल निष्कर्ष थे ।

इस प्रयास पर AI कंप्यूट टोकन में $40,000 से अधिक खर्च हुए, जिसे OpenSats (एक 501(c)(3) गैर-लाभकारी संस्था), OpenCode और AnchorWatch ने वित्तपोषित किया । टीम ने एक कस्टम सिक्योरिटी हार्नेस का उपयोग किया, जिसमें एक समय 171,599 लाइनों का कोड था, और इसमें Kimi K3, GPT Sol, Fable, Opus और GLM5.2 सहित फ्रंटियर AI मॉडल को एकीकृत किया गया था ताकि ऑटोमेटेड स्टैटिक एनालिसिस किया जा सके ।

14 अगस्त, 2026 तक, 108 घंटे के काम के बाद, टीम ने समीक्षा का विस्तार 501 प्रोजेक्ट्स तक कर दिया था और कुल 7,958 निष्कर्ष दर्ज किए, जिनमें से 1,280 को उच्च या क्रिटिकल के रूप में वर्गीकृत किया गया था ।

ऑडिटिंग प्रक्रिया कैसे काम करती थी

बिटकॉइन रेड टीम एक वैश्विक स्तर पर वितरित दस्ते के रूप में काम करती थी, जो अलग-अलग समय क्षेत्रों में चौबीसों घंटे काम करती थी । प्रक्रिया में AI-संचालित कोड स्कैनिंग को मानवीय निगरानी के साथ जोड़ा गया, लेकिन परिणामों की मात्रा ने एक महत्वपूर्ण वेरिफिकेशन अड़चन पैदा कर दी।

रिप्रोडक्शन रेट। पहले 29.8 घंटों में, केवल 21.4% निष्कर्षों को मानव समीक्षकों द्वारा सफलतापूर्वक दोबारा तैयार (रिप्रोड्यूस) किया जा सका, जिसका अर्थ है कि अधिकांश संभावित मुद्दे अभी भी असत्यापित थे । 108 घंटे के बाद, रिप्रोडक्शन दर बढ़कर 24.7% हो गई । टीम ने इस बात पर जोर दिया कि ये प्रारंभिक गंभीरता रेटिंग्स प्रारंभिक आकलन थीं, न कि पुष्टि की गई कमजोरियां ।

अपस्ट्रीम रिपोर्टिंग। प्रारंभिक रिपोर्टिंग के समय, समीक्षा किए गए 390 प्रोजेक्ट्स में से 5% से भी कम को उनके निष्कर्षों के बारे में अपस्ट्रीम सूचित किया गया था, जो जिम्मेदार प्रकटीकरण में एक बड़े बैकलॉग का संकेत देता है । टीम ने एक सख्त प्रकटीकरण प्रक्रिया का पालन किया: क्रिटिकल निष्कर्षों को किसी भी सार्वजनिक रिलीज से पहले निजी तौर पर मेंटेनर्स को सूचित किया गया, और टीम ने प्रकटीकरण से पहले कमजोरियों की पुष्टि करने के लिए कार्यशील प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट बनाए ।

सबसे अधिक प्रभावित प्रोजेक्ट श्रेणियां। प्राइवेसी और कॉइनजॉइन टूल्स में सबसे अधिक उच्च-या-क्रिटिकल रेटेड निष्कर्षों का अनुपात 24% था । क्रिप्टोग्राफ़िक लाइब्रेरी और SDK ने सबसे बड़ा कच्चा वॉल्यूम उत्पन्न किया, जिसमें कुल 1,101 निष्कर्ष थे ।

वह Coldcard वल्नरेबिलिटी जिसने ऑडिट को ट्रिगर किया

बिटकॉइन रेड टीम का ऑडिट Coldcard हार्डवेयर वॉलेट RNG (रैंडम नंबर जनरेटर) वल्नरेबिलिटी की सीधी प्रतिक्रिया था। यह Coinkite के Coldcard फर्मवेयर में एक क्रिटिकल फ्लॉ था, जो मार्च 2021 से 2026 तक सीड जनरेशन को हार्डवेयर रैंडमनेस के बजाय एक कमजोर सॉफ्टवेयर PRNG के माध्यम से चुपचाप रूट करता रहा । इस शोषण ने लंबी अवधि के धारकों से लगभग 1,816 BTC ($100 मिलियन से अधिक) की चोरी को सक्षम बनाया ।

जबकि Coldcard बग स्वयं रेड टीम के गठन से पहले खोजा गया था, इस घटना ने प्रदर्शित किया कि एक व्यापक रूप से विश्वसनीय कोल्ड-स्टोरेज डिवाइस में एक भी अनपैच की गई कमजोरी कितनी विनाशकारी हो सकती है। भेद्यता के प्रकटीकरण के बाद Coinkite ने एक फिक्स्ड फर्मवेयर जारी किया ।

रेड टीम का ऑडिट इकोसिस्टम की प्रतिक्रिया थी: AI-असिस्टेड स्कैन के कई निष्कर्ष — जिनमें प्राइवेसी टूल्स और कॉइनजॉइन सॉफ़्टवेयर में क्रिटिकल मुद्दे शामिल हैं — को जिम्मेदार प्रकटीकरण के बाद मेंटेनर्स द्वारा पैच किया गया ।

उद्योग की प्रतिक्रिया: डिफेंडर AI एक्सेस की मांग

बिटकॉइन रेड टीम के निष्कर्षों के पैमाने और गंभीरता ने एक समन्वित उद्योग प्रतिक्रिया को जन्म दिया। 10 अगस्त, 2026 को, बिटकॉइन पॉलिसी इंस्टीट्यूट (BPI) ने डिजिटल-एसेट इकोसिस्टम के 70 से अधिक संगठनों द्वारा हस्ताक्षरित एक खुला पत्र प्रकाशित किया, जिसमें फ्रंटियर AI लैब्स से विशिष्ट कार्रवाई करने का आह्वान किया गया ।

हस्ताक्षरकर्ताओं में प्रमुख कस्टोडियन, एक्सचेंज, माइनिंग फर्म और ओपन-सोर्स डेवलपमेंट समूह शामिल थे: Coinbase, Strategy (पूर्व में MicroStrategy), Block, MARA, Galaxy, BitGo, Brink, OpenSats, Trezor, Kraken, Ledger, Anchorage Digital, और Chaincode Labs ।

पत्र का मुख्य तर्क यह था कि "ओपन-सोर्स डिफेंडर आज AI सुरक्षा परिदृश्य में सबसे कम विशेषाधिकार प्राप्त स्थिति में हैं" । प्रमुख मांगें थीं:

• सत्यापित बिटकॉइन और ओपन-सोर्स सुरक्षा डिफेंडर्स को फ्रंटियर AI मॉडल्स तक "विश्वसनीय पहुंच" (ट्रस्टेड एक्सेस) प्रदान करना — न कि केवल सार्वजनिक रूप से उपलब्ध संस्करण, बल्कि सबसे उन्नत मॉडल वेट और क्षमताएं जिनका हमलावर पहले से उपयोग कर रहे हैं ।
• उभरते हुए "AI एक्सेस गैप" को बंद करना — दुर्भावनापूर्ण अभिनेताओं के पास भेद्यता खोज और शोषण विकास के लिए अत्याधुनिक AI तक निर्बाध पहुंच है, जबकि इकोसिस्टम डिफेंडर कमजोर, सार्वजनिक रूप से उपलब्ध मॉडल तक ही सीमित हैं ।
• योग्य ओपन-सोर्स सुरक्षा शोधकर्ताओं के लिए शुरुआती मॉडल एक्सेस, कंप्यूटिंग पावर, सुरक्षित वातावरण और प्रत्यक्ष संचार चैनल सहित नियंत्रित प्रारंभिक पहुंच प्रदान करना ।

गठबंधन ने चेतावनी दी कि इस पहुंच के बिना, ओपन-सोर्स बिटकॉइन सॉफ़्टवेयर पर निर्मित महत्वपूर्ण वित्तीय बुनियादी ढांचा एक बढ़ते असममित खतरे का सामना करता है, जहां हमलावर बेहतर AI टूल के साथ काम करते हैं जबकि डिफेंडर बाहर रह जाते हैं ।

ओपन-सोर्स सुरक्षा का टर्निंग पॉइंट

बिटकॉइन रेड टीम के ऑडिट ने AI-असिस्टेड सुरक्षा स्कैनिंग की शक्ति और सीमाओं दोनों का प्रदर्शन किया। मात्र एक दिन में 390 प्रोजेक्ट्स में लगभग 5,000 संभावित मुद्दों को चिह्नित करने की क्षमता अभूतपूर्व है — लेकिन कम रिप्रोडक्शन और डिस्क्लोज़र दरों ने खुलासा किया कि मानव सत्यापन और जिम्मेदार प्रकटीकरण ही महत्वपूर्ण अड़चनें बनी हुई हैं ।

टीम ने इकोसिस्टम-व्यापी रक्षा को मजबूत करने के लिए अपने AI सुरक्षा हार्नेस को ओपन-सोर्स करने की योजना बनाई है । यह व्यापक बिटकॉइन डेवलपर समुदाय को स्वतंत्र रूप से समान स्कैन चलाने की अनुमति देगा, जो संभावित रूप से एक बार के स्प्रिंट को एक टिकाऊ सुरक्षा अभ्यास में बदल सकता है।

अनुत्तरित मूलभूत प्रश्न यह है: क्या डिफेंडर्स को वह AI टूल मिल पाएंगे जिनकी उन्हें ज़रूरत है, इससे पहले कि हमलावर उन्हें पा लें?