Tim Red Team Bitcoin Bongkar 4.962 Celah Keamanan dalam 27,5 Jam dengan AI

Upaya ini menghabiskan biaya lebih dari $40.000 dalam token komputasi AI, didanai oleh OpenSats (sebuah organisasi nirlaba 501(c)(3)), OpenCode, dan AnchorWatch . Tim menggunakan perangkat keamanan khusus yang pada satu titik berisi 171.599 baris kode, mengintegrasikan model AI terdepan termasuk Kimi K3, GPT Sol, Fable, Opus, dan GLM5.2 untuk melakukan analisis statis otomatis .

Pada 14 Agustus 2026—setelah 108 jam kerja—tim telah memperluas tinjauan ke 501 proyek dan mencatat 7.958 total temuan, dengan 1.280 diklasifikasikan sebagai tinggi atau kritis .

Cara Kerja Proses Audit

Bitcoin Red Team beroperasi sebagai skuad yang tersebar secara global, bekerja 24 jam non-stop di berbagai zona waktu . Prosesnya menggabungkan pemindaian kode berbasis AI dengan pengawasan manusia, tetapi volume hasil menciptakan hambatan verifikasi yang signifikan.

Tingkat reproduksi. Dalam 29,8 jam pertama, hanya 21,4% temuan yang berhasil direproduksi oleh peninjau manusia—artinya sebagian besar masih merupakan potensi masalah yang belum terverifikasi . Pada jam ke-108, reproduksi meningkat menjadi 24,7% . Tim menekankan bahwa peringkat tingkat keparahan awal ini mewakili penilaian sementara, bukan kerentanan yang dikonfirmasi .

Pelaporan upstream. Kurang dari 5% dari 390 proyek yang ditinjau telah menerima pemberitahuan upstream tentang temuan mereka pada saat pelaporan awal, menunjukkan banyaknya tunggakan dalam pengungkapan yang bertanggung jawab . Tim mengikuti proses pengungkapan yang ketat: temuan kritis dilaporkan secara pribadi kepada pengelola sebelum rilis publik, dan tim membangun proof-of-concept exploit yang berfungsi untuk mengonfirmasi kerentanan sebelum pengungkapan .

Kategori proyek yang paling terpengaruh. Alat privasi dan coinjoin membawa proporsi tertinggi temuan tingkat tinggi atau kritis sebesar 24% . Pustaka kriptografi dan SDK menghasilkan volume mentah terbesar, dengan 1.101 total temuan .

Kerentanan Coldcard yang Memicu Audit

Audit Bitcoin Red Team adalah respons langsung terhadap kerentanan RNG (random number generator) dompet hardware Coldcard—cacat firmware kritis pada Coldcard milik Coinkite yang secara diam-diam mengarahkan pembuatan seed melalui PRNG perangkat lunak yang lemah, alih-alih menggunakan keacakan perangkat keras, sejak Maret 2021 hingga 2026 . Eksploitasi ini memungkinkan pencurian sekitar 1.816 BTC (lebih dari $100 juta) dari pemegang jangka panjang .

Meskipun bug Coldcard sendiri ditemukan sebelum pembentukan Red Team, insiden tersebut menunjukkan betapa dahsyatnya satu kerentanan yang tidak ditambal pada perangkat cold-storage yang dipercaya secara luas. Coinkite merilis firmware yang diperbaiki setelah kerentanan diungkapkan .

Audit Red Team adalah respons ekosistem: beberapa temuan dari pemindaian berbantuan AI—termasuk masalah kritis pada alat privasi dan perangkat lunak coinjoin—kemudian diperbaiki oleh pengelola setelah pengungkapan yang bertanggung jawab .

Respons Industri: Menuntut Akses AI untuk Pembela

Skala dan tingkat keparahan temuan Bitcoin Red Team mendorong respons industri yang terkoordinasi. Pada 10 Agustus 2026, Bitcoin Policy Institute (BPI) menerbitkan surat terbuka yang ditandatangani oleh lebih dari 70 organisasi di seluruh ekosistem aset digital, menyerukan laboratorium AI terdepan untuk mengambil tindakan tertentu .

Penandatangan termasuk kustodian besar, bursa, perusahaan pertambangan, dan kelompok pengembangan open-source: Coinbase, Strategy (sebelumnya MicroStrategy), Block, MARA, Galaxy, BitGo, Brink, OpenSats, Trezor, Kraken, Ledger, Anchorage Digital, dan Chaincode Labs antara lain .

Inti argumen surat itu adalah bahwa "pembela open-source saat ini menempati posisi paling tidak diuntungkan dalam lanskap keamanan AI" . Tuntutan utamanya adalah:

• Memberi pembela keamanan Bitcoin dan open-source yang telah terverifikasi "akses tepercaya" ke model AI terdepan—bukan hanya versi yang tersedia untuk umum, tetapi bobot dan kemampuan model paling canggih yang sudah digunakan oleh penyerang .
• Menutup "kesenjangan akses AI" yang muncul—aktor jahat memiliki akses tak terbatas ke AI mutakhir untuk penemuan kerentanan dan pengembangan eksploitasi, sementara pembela ekosistem terbatas pada model publik yang lebih lemah .
• Menyediakan akses awal yang terkontrol termasuk akses model awal, daya komputasi, lingkungan yang aman, dan saluran komunikasi langsung untuk peneliti keamanan open-source yang berkualifikasi .

Koalisi tersebut memperingatkan bahwa tanpa akses ini, infrastruktur keuangan kritis yang dibangun di atas perangkat lunak Bitcoin open-source menghadapi ancaman asimetris yang meningkat di mana penyerang beroperasi dengan alat AI yang unggul sementara pembela terkunci .

Titik Balik Keamanan Open-Source

Audit Bitcoin Red Team menunjukkan kekuatan dan keterbatasan pemindaian keamanan berbantuan AI. Kemampuan untuk menandai hampir 5.000 potensi masalah di 390 proyek hanya dalam waktu lebih dari satu hari belum pernah terjadi sebelumnya—tetapi tingkat reproduksi dan pengungkapan yang rendah mengungkapkan bahwa verifikasi manusia dan pengungkapan yang bertanggung jawab tetap menjadi hambatan kritis .

Tim telah menyatakan rencana untuk menjadikan perangkat keamanan AI mereka open-source guna memperkuat pertahanan di seluruh ekosistem . Ini akan memungkinkan komunitas pengembang Bitcoin yang lebih luas untuk menjalankan pemindaian serupa secara mandiri, berpotensi mengubah sprint satu kali menjadi praktik keamanan yang tahan lama.

Pertanyaan mendasar yang belum terjawab: apakah para pembela akan mendapatkan alat AI yang mereka butuhkan sebelum para penyerang?