AnswersPublished32 sources
Bitcoin Red Team vond 4.962 AI-signalen, maar menselijke controle is de bottleneck
Een team van 16 vrijwilligers diende in circa 27,5 uur 4.962 mogelijke beveiligingsbevindingen in voor ongeveer 390 Bitcoin gerelateerde projecten; 85 kregen het label kritiek en 635 hoog. Dat zijn geen 4.962 bevestigde, misbruikbare kwetsbaarheden: slechts circa 21,4% was toen onafhankelijk gereproduceerd.
Gepubliceerd doorBewerkt met GPT-5.6 TerraAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Een team van 16 vrijwilligers diende in circa 27,5 uur 4.962 mogelijke beveiligingsbevindingen in voor ongeveer 390 Bitcoin gerelateerde projecten; 85 kregen het label kritiek en 635 hoog.
- Dat zijn geen 4.962 bevestigde, misbruikbare kwetsbaarheden: slechts circa 21,4% was toen onafhankelijk gereproduceerd.
- De echte uitdaging is nu capaciteit voor triage, veilige disclosure, patches, code review, tests en snelle updates — niet het genereren van nóg meer AI meldingen.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the 16-member Bitcoin Red Team, led by Rob Hamilton and developer Calle and funded by OpenSats, use frontier AI models to scan about. Article summary: The audit showed that AI can generate security leads at a rate far beyond what a small open-source ecosystem can validate and patch. Its reported figures are therefore a warning signal—not proof that all 4,962 items were. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
De Bitcoin Red Team-audit laat vooral zien hoe sterk de economie van softwarebeveiliging verandert. In een sprint in augustus 2026 meldde de vrijwilligersgroep dat zij met een door mensen aangestuurde workflow met meerdere AI-modellen circa 390 Bitcoin-gerelateerde repositories had onderzocht in ongeveer 27,5 uur. Dat leverde 4.962 potentiële beveiligingsbevindingen op, waarvan 85 als kritiek en 635 als hoog risico waren ingedeeld. Maar dat zijn signalen voor nader onderzoek, geen 4.962 bevestigde en praktisch uit te buiten kwetsbaarheden. 11
24
AI speurt sneller dan mensen kunnen valideren
De groep van 16 personen, onder leiding van ontwikkelaar Calle en AnchorWatch-topman Rob Hamilton, gebruikte volgens berichtgeving meer dan 40.000 dollar aan door OpenSats gefinancierde AI-rekenkracht. Modellen zochten in code naar verdachte patronen, mogelijke zwakke paden en hypotheses voor misbruik; mensen stuurden het proces aan en maakten meldingen gereed voor projectonderhouders. In de berichtgeving worden onder meer Kimi K3, GPT Sol, Fable, Opus en GLM 5.2 genoemd. 2
5
12
De schaal was opmerkelijk: ongeveer 390 repositories en een reviewharnas dat volgens de rapportage 171.599 regels code omvatte. In totaal kregen 720 bevindingen de classificatie hoog of kritiek. 23
27
AI kan grote hoeveelheden openbare code snel doorzoeken, kandidaat-datastromen volgen en tests of exploit-hypotheses voorstellen. Daarmee daalt de kostprijs van het vinden van mogelijke fouten scherp. Maar een verdachte regel code is nog geen bruikbare beveiligingsmelding — laat staan een fout die veilig kan worden verholpen.
Waarom 4.962 meldingen geen kwetsbaarheidsteller zijn
Het getal van 4.962 moet worden gelezen als een wachtrij van kandidaten die verificatie nodig hebben. In de eerste berichtgeving was slechts 21,4% van de bevindingen onafhankelijk gereproduceerd. Voor de rest moet nog worden vastgesteld of het gedrag in de relevante build en configuratie werkelijk optreedt, of het exploiteerbaar is, of het een duplicaat is en welke ernst het daadwerkelijk heeft. 11
15
Voor een volledige beveiligingsreactie zijn doorgaans meerdere stappen nodig:
- het gedrag reproduceren in de werkelijke softwareomgeving;
- echte fouten scheiden van fout-positieven en doublures;
- beoorde len hoe misbruikbaar het probleem is en wat de gevolgen voor gebruikers zijn;
- kwetsbaarheden vertrouwelijk met onderhouders delen;
- een gerichte patch en tests schrijven;
- wijzigingen controleren op regressies; en
- zorgen dat beheerders en gebruikers de update daadwerkelijk uitrollen.
AI maakt de eerste stap — het aandragen van aanwijzingen — veel goedkoper. De expertise en capaciteit die daarna nodig zijn, verdwijnen daarmee niet. Volgens berichtgeving had bovendien slechts een deel van de meldingen de onderhouders al bereikt, wat ook de disclosurecapaciteit tot een knelpunt maakt. 14
Coldcard maakte de gevolgen tastbaar
De audit volgde op het incident rond de Coldcard-hardwarewallet. Een firmwarefout uit maart 2021 stuurde de generatie van seeds volgens de rapportage via een voorspelbare softwarematige randomizer, in plaats van via de bedoelde hardwarematige bron voor willekeurige getallen. Daardoor konden sleutels van getroffen wallets onder bepaalde voorwaarden door een aanvaller opnieuw worden afgeleid. 42
45
De verliesramingen liepen op naarmate meer activiteit werd geïdentificeerd. CoinDesk meldde een mogelijk cumulatief bedrag van bijna 114 miljoen dollar over vier golven; andere berichtgeving noemde ongeveer 1.816 BTC die tussen 30 juli en 3 augustus was buitgemaakt. 41
42
Dat was geen falen van de kerncryptografie van Bitcoin. Het onderstreepte wel dat een fout in software rond zelfbewaring op grote schaal gevolgen kan hebben — en dat gevaarlijke fouten vóór misbruik opsporen minstens zo belangrijk is als ze achteraf ontdekken.
Eén gemergde patch zegt meer dan duizenden ruwe meldingen
Een concreet resultaat was een door AI ondersteunde bijdrage van Hamilton aan Bitcoin Core, die volgens berichtgeving op 20 augustus werd samengevoegd om een walletgerelateerde crash te verhelpen. 13
Zo'n merge is betekenisvol omdat die een veel hogere drempel passeert dan een automatisch gegenereerd rapport: er is een afgebakende fout, een beoordeelde patch en een geaccepteerde wijziging in een actief onderhouden codebase. Juist daarom mag de kop van 4.962 meldingen niet worden verward met een aantal voltooide reparaties.
Toegangsbeperkingen voor OpenAI legden een dilemma bloot
Hamilton zei dat OpenAI's Trust Cyber-programma zijn toegang beperkte nadat hij de cybermogelijkheden in de audit was gaan gebruiken. Daarna gebruikte de groep volgens de berichtgeving alternatieve modellen, waaronder modellen met open wegingen, om door te gaan. 18
21
32
Het beleidsdilemma is reëel: krachtige cybermodellen kunnen legitieme verdedigers helpen fouten sneller te vinden, maar dezelfde mogelijkheden kunnen misbruikt worden. Hamiltons kritiek is dat vertraging voor bekende verdedigers in de praktijk een scheve verhouding kan creëren wanneer aanvallers toegang houden tot andere modellen of lokaal uitvoerbare modelgewichten. Dat is een argument over toegang en operationele snelheid, niet het bewijs dat een beperking bij één aanbieder beveiligingsonderzoek of misbruik volledig stopt. 21
Boltz toont de druk op kleine teams
De Bitcoin-swapdienst Boltz zette swaps in augustus voor onbepaalde tijd stop. Het bedrijf stelde dat een toename van geautomatiseerde, AI-ondersteunde verkenningen sneller ging dan het kleine team beveiligingsmaatregelen kon ontwikkelen en uitrollen. De refundfunctie bleef beschikbaar terwijl swaps waren uitgeschakeld. 28
29
30
Boltz bewijst niet dat elke AI-gegenereerde aanval geavanceerd of succesvol is. Wel illustreert het de mismatch die de Red Team-audit blootlegt: automatische ontdekking en probing kunnen onafgebroken doorgaan, terwijl kleine teams ieder alarm afzonderlijk moeten onderzoeken en iedere oplossing veilig moeten uitbrengen.
Waarom krachtigere modellen de risicoafweging veranderen
Bitcoin en veel diensten eromheen zijn grotendeels open source. Openbare code maakt onafhankelijke controle en transparantie mogelijk, maar geeft verdedigers en aanvallers toegang tot dezelfde softwarebasis. De zorg van Hamilton en Bitcoin-commentator CobraBitcoin is niet dat open source per definitie onveilig is. Hun punt is dat steeds betere modellen de benodigde tijd en expertise kunnen verlagen om een ongebruikelijke fout in honderden repositories te vinden. 17
21
OpenAI stelt dat GPT-6 Astra de drempel Critical voor cybersecuritycapaciteiten in zijn Preparedness Framework haalt. Volgens het bedrijf kan Astra, met de juiste tools en toegang, eerder onbekende fouten vinden en manieren ontwikkelen om die in veel goed beschermde systemen te misbruiken, zonder dat een mens elke stap begeleidt. 19
22
Die verklaring bewijst niet dat Astra in de Bitcoin Red Team-audit is gebruikt, noch dat een grensmodel een Bitcoin-compromis heeft veroorzaakt. Zij maakt wel duidelijk waarom onderhouders zich op snelheid richten: naarmate modellen beter worden in redeneren over hele repositories en het ontwikkelen van kwetsbaarheden, verschuift de schaarste van het vinden van mogelijkheden naar het snel bewijzen, repareren en uitrollen van de belangrijke gevallen.
De investering die nu ontbreekt: verificatiecapaciteit
De sprint van Bitcoin Red Team is het best te begrijpen als een waarschuwing over doorvoer. Beveiligingsecosystemen kunnen inmiddels in korte tijd duizenden plausibele aanwijzingen produceren. Hun weerbaarheid hangt af van voldoende financiering voor onafhankelijke reproductie, veilige meldkanalen, tijd van onderhouders, code-review, testen en snelle updates.
Voor Bitcoin-projecten is de volgende relevante maatstaf dus niet het grootste aantal AI-gegenereerde meldingen. Het is het aandeel meldingen dat verandert in gevalideerde kwetsbaarheden, verantwoord gecoördineerde patches en daadwerkelijk uitgerolde bescherming — voordat aanvallers kunnen handelen. 15
14
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Bitcoin Red Team vond 4.962 AI-signalen, maar menselijke controle is de bottleneck"?
Een team van 16 vrijwilligers diende in circa 27,5 uur 4.962 mogelijke beveiligingsbevindingen in voor ongeveer 390 Bitcoin gerelateerde projecten; 85 kregen het label kritiek en 635 hoog.
What are the key points to validate first?
Een team van 16 vrijwilligers diende in circa 27,5 uur 4.962 mogelijke beveiligingsbevindingen in voor ongeveer 390 Bitcoin gerelateerde projecten; 85 kregen het label kritiek en 635 hoog. Dat zijn geen 4.962 bevestigde, misbruikbare kwetsbaarheden: slechts circa 21,4% was toen onafhankelijk gereproduceerd.
What should I do next in practice?
De echte uitdaging is nu capaciteit voor triage, veilige disclosure, patches, code review, tests en snelle updates — niet het genereren van nóg meer AI meldingen.
Sources
forklog.comBitcoin Red Team Identifies Thousands of Issues in 390 ... - ForkLog
coinpaper.comBitcoin Red Team Flags Nearly 5000 Security Issues in 30 ...
finance.yahoo.com85 Critical Flaws Found as AI-Powered Bitcoin Security Audit Hits ...
bbx.comBitcoin Red Team completes open source code repository ...