बिटकॉइन रेड टीम का AI ऑडिट: $116 मिलियन के Coldcard हैक के बाद मिलीं 85 गंभीर कमजोरियां

Bitcoin Red Team क्या है?

Bitcoin Red Team एक स्वयंसेवी सुरक्षा पहल है, जिसका सह-नेतृत्व छद्म नाम बिटकॉइन डेवलपर Calle और बिटकॉइन कस्टडी फर्म AnchorWatch के CEO Rob हैमिल्टन कर रहे हैं । अगस्त 2026 की शुरुआत में, समूह ने बिटकॉइन ओपन-सोर्स इकोसिस्टम का एक तेज़ AI-सहायता सुरक्षा स्वीप शुरू किया। लगभग 27.5-30 घंटों में, 16 सुरक्षा शोधकर्ताओं ने AI मॉडल का उपयोग करके 390 ओपन-सोर्स बिटकॉइन रिपॉजिटरी का ऑडिट किया और 4,962 कुल कमजोरियां दर्ज कीं । गैर-लाभकारी संगठन OpenSats ने AI कंप्यूट लागतों को कवर किया, जो कुल लगभग $40,000 या लगभग $10,000 प्रति दिन थी ।

Coldcard वॉलेट हैक का जवाब

यह अभियान जुलाई 2026 के Coldcard हार्डवेयर वॉलेट शोषण की सीधी प्रतिक्रिया था । हैक के बारे में मुख्य बातें:

• कमजोरी: मार्च 2021 में Coldcard फर्मवेयर संस्करण 4.0.0 में पेश एक फर्मवेयर बग के कारण डिवाइस सीड-फ्रेज़ निर्माण के दौरान अपने समर्पित हार्डवेयर रैंडम-नंबर जनरेटर को बायपास कर देता था । इससे वॉलेट सीड फ्रेज़ का अनुमान लगाना आसान हो गया—कुंजी की ताकत 128 बिट्स से घटकर केवल 40 बिट्स रह गई ।
• हमला: 30 जुलाई, 2026 से शुरू होकर, हैकर्स ने इस दोष का फायदा उठाकर हजारों वॉलेट से फंड निकाल लिए। पहली लहर में 41 मिनट में 1,196 पतों से 1,082.65 BTC (उस समय लगभग $70 मिलियन) चुरा लिए गए ।
• कुल नुकसान: कई लहरों में कुल नुकसान $116 मिलियन से अधिक हो गया, जो 5,200 से अधिक पतों तक फैला, कुछ अनुमानों के अनुसार यह $130 मिलियन से भी अधिक था । कम से कम एक दर्जन अलग-अलग हैकर्स शामिल थे ।
• Coinkite की प्रतिक्रिया: कंपनी ने उपयोगकर्ताओं से फर्मवेयर अपडेट करने और फंड ट्रांसफर करने का आग्रह किया, लेकिन तब तक अधिकांश नुकसान हो चुका था ।

इसके जवाब में, Bitcoin Red Team ने इसी तरह के रैंडम-नंबर-जनरेटर बग, कमजोर क्रिप्टोग्राफिक प्रथाओं और अन्य प्रणालीगत खामियों को हैकर्स के शोषण से पहले खोजने के लिए अपना ऑडिट शुरू किया ।

मुख्य निष्कर्ष और तरीके

निष्कर्ष

लगभग 5,000 रिपोर्ट्स की भारी मात्रा ने डाउनस्ट्रीम मेंटेनर्स के लिए एक बड़ी ट्राएज समस्या पैदा कर दी । केवल लगभग पांच में से एक निष्कर्ष पुष्टि योग्य था, लेकिन समूह ने तर्क दिया कि Coldcard हमले की गंभीरता को देखते हुए सीमा रेखा के मुद्दों को चिन्हित करना उचित था ।

तरीके

• टीम ने कोडबेस में ज्ञात कमजोरी पैटर्न, क्रिप्टोग्राफिक कमजोरियों और लॉजिक एरर को स्कैन करने के लिए ओपन-वेट AI मॉडल का उपयोग किया ।
• मानव शोधकर्ताओं ने AI का मार्गदर्शन किया, परिणामों को मान्य किया, और जिम्मेदार प्रकटीकरण रिपोर्ट दर्ज कीं ।
• समूह अपने कस्टम AI सुरक्षा हार्नेस को ओपन-सोर्स करने की योजना बना रहा है ताकि व्यापक समुदाय स्वचालित स्कैनिंग जारी रख सके ।
• उन्होंने वॉलेट्स, क्रिप्टोग्राफिक लाइब्रेरी और बिटकॉइन इंफ्रास्ट्रक्चर प्रोजेक्ट्स पर ध्यान केंद्रित किया—ऐसे कोड जिनमें खामी होने पर Coldcard-स्तर का नुकसान हो सकता है ।

OpenAI ने लीड रिसर्चर की पहुंच क्यों रद्द की?

Rob हैमिल्टन (AnchorWatch CEO और अभियान के सह-नेता) OpenAI के 'Trust Cyber' प्रोग्राम में नामांकित थे, जो अनुमोदित सुरक्षा शोधकर्ताओं को कमजोरी अनुसंधान के लिए सब्सिडाइज़्ड API एक्सेस प्रदान करता है । 8/9 अगस्त, 2026 को, प्रोग्राम को अपने वर्कफ़्लो में एकीकृत करने और वैध प्रकटीकरण दाखिल करने के बाद, OpenAI ने बिना स्पष्टीकरण के उनकी पहुंच रद्द कर दी ।

• हैमिल्टन ने सार्वजनिक रूप से कहा कि उन्हें "एक कोडबेस पर अतिरिक्त विश्लेषण करने से रोक दिया गया, जिसके लिए मैंने पहले ही जिम्मेदारी से खुलासा किया था और पुष्टि प्राप्त की थी कि इसमें वैध निष्कर्ष थे" ।
• इस निरस्तीकरण ने Bitcoin Red Team को कम प्रतिबंधात्मक AI मॉडल, जिसमें चीनी ओपन-वेट विकल्प शामिल थे, पर स्विच करने के लिए मजबूर किया, जिसे सुरक्षा अनुसंधान में अमेरिकी AI प्रतिस्पर्धात्मकता के लिए एक झटका माना गया ।
• OpenAI ने सार्वजनिक रूप से अपने तर्क का विवरण नहीं दिया है। कंपनी के Researcher Access Program FAQ में कहा गया है कि क्रेडिट उनके विवेक पर दिए जाते हैं और वापस लिए जा सकते हैं, लेकिन हैमिल्टन द्वारा किसी विशिष्ट नीति उल्लंघन का हवाला नहीं दिया गया है ।