Bitcoin Red Team Bongkar 85 Celah Kritis dalam Hitungan Jam, Picu Debat Sengit soal Akses AI

Skalanya belum pernah terjadi sebelumnya: 16 kontributor (14 manusia dan 3 agen AI) bekerja sepanjang waktu, dengan 91% temuan diperoleh melalui pemindaian otomatis . Upaya ini didanai oleh OpenSats, sebuah organisasi nirlaba 501(c)(3) di AS, yang menghabiskan lebih dari $40.000 untuk biaya komputasi AI . Tim menggunakan perangkat keamanan khusus sepanjang 171.599 baris kode dan beberapa model AI termasuk Kimi K3, GPT Sol, Fable, Opus, dan GLM5.2 .

Angkanya: 4.962 Temuan dalam 27,5 Jam

Dalam 27,5 jam pertama operasinya, tim mencatat 4.962 total temuan keamanan di 390 proyek . Dari jumlah tersebut, 85 diklasifikasikan sebagai bertingkat kritis dan 635 sebagai bertingkat tinggi, yang bersama-sama membentuk 14,5% dari semua temuan—rata-rata 1,85 masalah serius per proyek, atau 166 temuan per jam .

Namun, angka mentah ini memiliki catatan penting. Hingga laporan awal, hanya 21,4% temuan yang berhasil direproduksi oleh peninjau manusia, yang berarti jumlah celah yang benar-benar dapat dieksploitasi secara signifikan lebih rendah dari jumlah temuan mentah . Tim menekankan bahwa laporan yang dihasilkan AI masih memerlukan verifikasi manusia untuk menentukan apakah celah tersebut benar-benar dapat dieksploitasi di dunia nyata.

Perluasan Audit

Pada 14 Agustus 2026, tim telah memperluas pemindaiannya menjadi 501 proyek selama 108 jam, mencatat 7.958 temuan dengan 1.280 di antaranya diklasifikasikan sebagai tinggi atau kritis . Pada titik itu, 24,7% dari semua temuan telah berhasil direproduksi secara dinamis dan 29,4% telah dilaporkan ke pengelola proyek . Alat privasi dan coinjoin memiliki proporsi temuan tinggi-atau-kritis tertinggi, yaitu 24% .

Kerentanan BTCPay Server—Dampak Nyata di Dunia

Konsekuensi paling signifikan di dunia nyata dari audit ini adalah penemuan kerentanan kritis di BTCPay Server, sebuah pemroses pembayaran Bitcoin open source yang digunakan oleh para pedagang di seluruh dunia. Pada 7-8 Agustus 2026, penyerang secara aktif mengeksploitasi celah yang memungkinkan mereka mencuri kredensial admin LND (Lightning Network Daemon) macaroon dari instance BTCPay Server—pada dasarnya kunci otentikasi yang mengontrol node Lightning .

Dengan kredensial itu, penyerang dapat terhubung dari jarak jauh ke node LND korban dan menguras dana dari saluran Lightning tanpa memerlukan otentikasi apa pun . Entitas yang terkena dampak termasuk Yayasan BTCPay Server sendiri dan Citadel21, sebuah pusat komunitas yang berfokus pada Bitcoin .

Kerentanan ini telah diungkapkan secara bertanggung jawab oleh pengembang Sparrow Wallet, Craig Raw, dan Bitcoin Red Team . BTCPay Server merilis perbaikan darurat dalam versi 2.4.2 dan mendesak semua pengguna untuk segera memperbarui atau menonaktifkan sementara server mereka .

Sebagai tanggapan, Yayasan BTCPay Server menawarkan hadiah pemulihan hingga 3 BTC (sekitar $190.000 saat itu), yang mewakili 10% dari dana yang berhasil dipulihkan . Yayasan juga mendonasikan masing-masing 0,21 BTC kepada Craig Raw dan Bitcoin Red Team atas pengungkapan mereka yang bertanggung jawab .

OpenAI Blokir Peneliti Utama—Memaksa Beralih ke AI China

Sebuah titik api kebijakan besar muncul segera setelah audit. Pada 9 Agustus 2026, OpenAI memblokir Rob Hamilton dari menggunakan program 'Trusted Access for Cyber'—meskipun ia telah menyelesaikan verifikasi dan orientasi—sehingga mencegah penelitian kerentanan Bitcoin lebih lanjut pada model OpenAI .

Hamilton melaporkan bahwa ia mulai mengintegrasikan kemampuan OpenAI pada hari Sabtu, namun aksesnya dibatasi keesokan paginya . "Ini benar-benar menghancurkan hati saya sebagai orang Amerika yang patriotik untuk harus melakukan ini," tulisnya di X, mengumumkan bahwa ia akan kembali menggunakan model open source China untuk terus melindungi infrastruktur Bitcoin .

Bitcoin Red Team memigrasikan penelitiannya ke model Kimi K3 open-weight milik Moonshot AI, sebuah LLM open source China . Hamilton secara terbuka menyatakan bahwa peretas lawan sudah memiliki akses tak terbatas ke alat AI mutakhir sementara para pembela justru dikunci .

Koalisi Industri Menuntut Akses AI bagi Pembela

Pada 13-14 Agustus 2026, Bitcoin Policy Institute (BPI) mengoordinasikan sebuah surat terbuka yang ditandatangani oleh lebih dari 40 perusahaan kripto—termasuk Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa, dan Exodus—menuntut agar laboratorium AI terkemuka (OpenAI, Anthropic, dan lainnya) menyediakan akses awal yang terkontrol ke model AI mutakhir bagi peneliti keamanan open source yang telah melalui proses verifikasi .

Para penandatangan berargumen bahwa penyerang sudah memiliki akses ke AI tercanggih, menciptakan kesenjangan keamanan asimetris di mana para pembela topi putih (white-hat defenders) tidak diberikan alat yang sama yang diperlukan untuk menemukan dan memperbaiki kerentanan sebelum dieksploitasi . Surat tersebut tidak meminta laboratorium AI untuk menghapus sepenuhnya langkah-langkah keamanan, melainkan mengusulkan program akses tepercaya terstruktur dengan kerangka kerja verifikasi, ruang peninjauan kode pribadi, dan saluran komunikasi dengan tim keselamatan laboratorium .