Audit AI Bitcoin Red Team Temui 85 Kelemahan Kritikal Selepas Penggodaman Coldcard RM116 Juta

Bagaimana Ia Bertindak Balas Terhadap Penggodaman Dompet Coldcard

Kempen ini adalah respons langsung terhadap eksploitasi dompet perkakasan Coldcard pada Julai 2026 . Berikut adalah apa yang berlaku dengan penggodaman tersebut:

• Kelemahan: Pepijat perisian tegar yang diperkenalkan dalam versi 4.0.0 (Mac 2021) menyebabkan peranti memintas penjana nombor rawak perkakasan khususnya semasa penciptaan frasa benih . Ini menjadikan frasa benih dompet boleh diramal — kekuatan kunci menurun daripada 128 bit kepada serendah 40 bit .
• Serangan: Bermula 30 Julai 2026, penggodam mengeksploitasi kelemahan ini untuk menguras dana daripada ribuan dompet. Gelombang pertama melanda 1,196 alamat dalam masa 41 minit, mencuri 1,082.65 BTC (~AS$70M ketika itu) .
• Jumlah kerugian: Pelbagai gelombang mendorong jumlah melebihi AS$116 juta merentasi lebih 5,200 alamat, dengan beberapa anggaran melebihi AS$130 juta apabila serangan berterusan . Sekurang-kurangnya sedozen penggodam berbeza terlibat .
• Tindak balas Coinkite: Syarikat itu mendesak pengguna mengemas kini perisian tegar dan memindahkan dana, tetapi pada ketika itu banyak kerosakan telah berlaku .

Sebagai tindak balas, Bitcoin Red Team melancarkan auditnya untuk mencari pepijat penjana nombor rawak yang serupa, amalan kriptografi lemah, dan kelemahan sistemik lain sebelum penggodam boleh mengeksploitasinya .

Penemuan dan Kaedah Utama

Penemuan

Jumlah yang besar — hampir 5,000 laporan dalam sehari — mewujudkan masalah triaj utama untuk penyelenggara hiliran . Hanya kira-kira satu daripada lima penemuan disahkan boleh dihasilkan semula, tetapi kumpulan itu berhujah bahawa menandakan isu sempadan adalah wajar memandangkan betapa seriusnya serangan Coldcard .

Kaedah

• Pasukan menggunakan model AI berwajaran terbuka untuk mengimbas pangkalan kod bagi corak kelemahan yang diketahui, kelemahan kriptografi dan ralat logik .
• Penyelidik manusia membimbing AI, mengesahkan keputusan, dan memfailkan laporan pendedahan bertanggungjawab .
• Kumpulan itu merancang untuk membuka sumber abah-abah keselamatan AInya supaya komuniti yang lebih luas boleh meneruskan pengimbasan automatik .
• Mereka memberi tumpuan kepada dompet, perpustakaan kriptografi, dan projek infrastruktur Bitcoin — jenis kod yang, jika cacat, boleh membawa kepada kerugian skala Coldcard yang lain .

Mengapa OpenAI Menarik Akses Ketua Penyelidik di Pertengahan Projek

Rob Hamilton (CEO AnchorWatch dan ketua bersama kempen) telah mendaftar dalam program "Trust Cyber" OpenAI, yang memberikan penyelidik keselamatan yang diluluskan akses API bersubsidi untuk penyelidikan kelemahan . Pada 8/9 Ogos 2026, selepas dia telah menyepadukan program itu ke dalam aliran kerjanya dan memfailkan pendedahan yang sah, OpenAI menarik balik aksesnya tanpa penjelasan .

• Hamilton secara terbuka menyatakan dia "disekat daripada melakukan analisis tambahan pada pangkalan kod yang saya telah mendedahkan secara bertanggungjawab, dan telah menerima pengesahan mempunyai penemuan yang sah" .
• Penarikan balik itu memaksa Bitcoin Red Team beralih kepada model AI yang kurang ketat, termasuk alternatif sumber terbuka China, satu peralihan yang diperhatikan dan dikritik secara meluas sebagai kemunduran untuk daya saing AI Amerika Syarikat dalam penyelidikan keselamatan .
• OpenAI tidak memperincikan alasannya secara terbuka. Soalan Lazim Program Akses Penyelidik syarikat itu menyatakan kredit diberikan mengikut budi bicara mereka dan boleh ditarik balik, tetapi tiada pelanggaran dasar khusus oleh Hamilton telah dipetik .