Bitcoin Red Team granskade 390 projekt på 27 timmar – hittade 85 kritiska fel

Vad var Bitcoin Red Team-kampanjen?

Bitcoin Red Team är ett frivilligt säkerhetsinitiativ som leds av den pseudonyma Bitcoin-utvecklaren Calle och Rob Hamilton, vd för Bitcoin-förvaringsföretaget AnchorWatch . I början av augusti 2026 genomförde gruppen en snabb AI-assisterad svepning av Bitcoins öppna ekosystem. Under cirka 27,5–30 timmar granskade 16 säkerhetsforskare med hjälp av AI-modeller 390 öppna Bitcoin-repositories och lämnade in 4 962 sårbarhetsfynd . Den ideella organisationen OpenSats stod för AI-beräkningskostnaderna – cirka 40 000 dollar totalt, eller ungefär 10 000 dollar per dag .

Så svarade man på Coldcard-hacket

Kampanjen var ett direkt svar på Coldcard-hårdvaruplånboksexploateringen i juli 2026 . Så här gick hacket till:

• Sårbarheten: En firmwarebugg som introducerades i Coldcard firmware version 4.0.0 (mars 2021) gjorde att enheten kringgick sin dedikerade slumpgenerator för hårdvara vid skapandet av seed-fraser . Detta gjorde plånbokens seed-fraser förutsägbara – nyckelstyrkan sjönk från 128 bitar till så lite som 40 bitar .
• Attacken: Från och med 30 juli 2026 utnyttjade angripare denna brist för att tömma medel från tusentals plånböcker. Den första vågen träffade 1 196 adresser på bara 41 minuter och stal 1 082,65 BTC (cirka 70 miljoner dollar vid tillfället) .
• Totala förluster: Flera vågor drev de totala förlusterna förbi 116 miljoner dollar från över 5 200 adresser, med vissa uppskattningar som översteg 130 miljoner dollar i takt med att attacken fortsatte . Minst ett dussin olika hackare var inblandade .
• Coinkites svar: Företaget uppmanade användare att uppdatera firmware och flytta sina tillgångar, men då var mycket av skadan redan skedd .

Som svar lanserade Bitcoin Red Team sin granskning för att hitta liknande buggar i slumpgeneratorer, svaga kryptografiska metoder och andra systemiska brister innan angripare kunde utnyttja dem .

Viktiga resultat och metoder

Resultat

Den enorma volymen – nästan 5 000 rapporter på en dag – skapade ett stort triageproblem för underhållarna längre fram i kedjan . Endast ungefär vart femte fynd kunde bekräftas som reproducerbart, men gruppen menade att det var motiverat att flagga gränsfall med tanke på allvaret i Coldcard-attacken .

Metoder

• Teamet använde AI-modeller med öppen vikt för att scanna kodbaser efter kända sårbarhetsmönster, kryptografiska svagheter och logiska fel .
• Mänskliga forskare vägledde AI:n, validerade resultaten och lämnade in rapporter om ansvarsfull informationsdelning .
• Gruppen planerar att publicera sin AI-säkerhetssele som öppen källkod så att den bredare communityn kan fortsätta med automatiserad scanning .
• De fokuserade på plånböcker, kryptografiska bibliotek och Bitcoin-infrastrukturprojekt – den typ av kod som, om den är bristfällig, kan leda till en ny Coldcard-förlust i samma skala .

Därför återkallade OpenAI tillgången för ledande forskare mitt i projektet

Rob Hamilton (AnchorWatch vd och kampanjens medledare) hade anmält sig till OpenAI:s "Trust Cyber"-program, som ger godkända säkerhetsforskare subventionerad API-åtkomst för sårbarhetsforskning . Den 8/9 augusti 2026, efter att han redan hade integrerat programmet i sitt arbetsflöde och lämnat in giltiga avslöjanden, återkallade OpenAI hans åtkomst utan förklaring .

• Hamilton offentliggjorde att han var "blockerad från att utföra ytterligare analys av en kodbas som jag redan har ansvarsfullt avslöjat för, och har fått bekräftelse på att den hade legitima fynd" .
• Återkallelsen tvingade Bitcoin Red Team att byta till mindre restriktiva AI-modeller, inklusive kinesiska alternativ med öppen vikt, ett skifte som noterades brett och kritiserades som ett bakslag för USA:s AI-konkurrenskraft inom säkerhetsforskning .
• OpenAI har inte offentligt redogjort för sin motivering. Företagets FAQ för Researcher Access Program noterar att krediter beviljas efter eget gottfinnande och kan dras in, men inget specifikt policybrott från Hamilton har citerats .