Bitcoin Red Team เปิดโปง 4,962 ช่องโหว่ ร้ายแรงระดับ Critical 85 รายการ ภายใน 27.5 ชั่วโมง ด้วย AI

ความพยายามครั้งนี้มีต้นทุนค่าใช้จ่ายใน token การคำนวณของ AI มากกว่า 40,000 ดอลลาร์สหรัฐ ซึ่งได้รับการสนับสนุนจาก OpenSats (องค์กรไม่แสวงหากำไร 501(c)(3)), OpenCode และ AnchorWatch ทีมงานใช้ชุดเครื่องมือรักษาความปลอดภัยแบบกำหนดเองที่มีโค้ดถึง 171,599 บรรทัด และบูรณาการโมเดล AI ระดับแนวหน้าเช่น Kimi K3, GPT Sol, Fable, Opus และ GLM5.2 ในการวิเคราะห์โค้ดแบบสแตติกอัตโนมัติ

ภายในวันที่ 14 สิงหาคม 2026 หลังจากทำงานไป 108 ชั่วโมง ทีมงานได้ขยายการตรวจสอบไปยัง 501 โปรเจกต์ และพบช่องโหว่ทั้งหมด 7,958 รายการ โดยมี 1,280 รายการที่จัดว่าร้ายแรงมาก

กระบวนการตรวจสอบทำงานอย่างไร

Bitcoin Red Team ทำงานเป็นทีมกระจายตัวทั่วโลกและสลับกันทำงานตลอด 24 ชั่วโมงตามโซนเวลา กระบวนการทำงานผสมผสานการสแกนโค้ดด้วย AI และการตรวจสอบโดยมนุษย์ แต่ปริมาณผลลัพธ์จำนวนมากทำให้เกิดปัญหาในการตรวจสอบ

อัตราการยืนยันซ้ำ (Reproduction rate) ภายใน 29.8 ชั่วโมงแรก มีเพียง 21.4% ของช่องโหว่ที่ถูกยืนยันซ้ำ โดยผู้ตรวจสอบที่เป็นมนุษย์ หมายถึงช่องโหว่ส่วนใหญ่ยังไม่ได้รับการยืนยันว่าเป็นของจริง เมื่อครบ 108 ชั่วโมง อัตราการยืนยันซ้ำเพิ่มขึ้นเป็น 24.7% ทีมงานย้ำว่าการจัดระดับความรุนแรงนี้เป็นเพียงการประเมินเบื้องต้น ไม่ใช่ช่องโหว่ที่ได้รับการยืนยันทั้งหมด

การแจ้งเตือนต้นทาง (Upstream reporting) ขณะที่มีการรายงานครั้งแรก มีโปรเจกต์น้อยกว่า 5% ใน 390 โปรเจกต์ที่ได้รับการแจ้งเตือนช่องโหว่ ซึ่งแสดงให้เห็นถึงงานคงค้างจำนวนมากในการแจ้งเตือนอย่างรับผิดชอบ ทีมงานปฏิบัติตามกระบวนการแจ้งเตือนอย่างเคร่งครัด โดยช่องโหว่ระดับวิกฤตจะถูกแจ้งเป็นการส่วนตัวให้กับผู้ดูแลโปรเจกต์ก่อนเปิดเผยต่อสาธารณะ และทีมยังสร้าง Proof-of-Concept ที่ใช้ได้จริงเพื่อยืนยันช่องโหว่ก่อนแจ้งเตือน

หมวดหมู่โปรเจกต์ที่ได้รับผลกระทบมากที่สุด เครื่องมือที่เกี่ยวกับความเป็นส่วนตัวและ Coinjoin มีสัดส่วนของช่องโหว่ระดับสูงหรือวิกฤตมากที่สุดที่ 24% ไลบรารีการเข้ารหัสและ SDK ผลิตปริมาณช่องโหว่ดิบมากที่สุดถึง 1,101 รายการ

ช่องโหว่ Coldcard ที่จุดชนวนการตรวจสอบ

การตรวจสอบของ Bitcoin Red Team เป็นการตอบสนองโดยตรงต่อ ช่องโหว่ Coldcard hardware wallet RNG (Random Number Generator) ซึ่งเป็นข้อบกพร่องในเฟิร์มแวร์ของ Coinkite Coldcard ที่ทำให้การสร้าง Seed Phrase ใช้ซอฟต์แวร์ PRNG ที่อ่อนแอแทนการใช้ฮาร์ดแวร์สุ่ม ตั้งแต่มีนาคม 2021 จนถึงปี 2026 ช่องโหว่นี้ทำให้สามารถขโมย Bitcoin ได้ประมาณ 1,816 BTC (มูลค่ากว่า 100 ล้านดอลลาร์) จากผู้ถือระยะยาว

แม้ว่าข้อบกพร่องของ Coldcard นี้ถูกค้นพบก่อนที่ Bitcoin Red Team จะก่อตั้งขึ้น แต่เหตุการณ์นี้แสดงให้เห็นว่าช่องโหว่เพียงจุดเดียวที่ไม่ได้รับการแก้ไขในอุปกรณ์ Cold Storage ที่เชื่อถือได้สามารถสร้างความเสียหายร้ายแรงได้เพียงใด Coinkite ได้ปล่อยเฟิร์มแวร์ที่แก้ไขแล้วหลังจากได้รับแจ้ง

การตรวจสอบของ Red Team คือการตอบสนองของระบบนิเวศ: ช่องโหว่หลายรายการจากการสแกนด้วย AI รวมถึงปัญหาร้ายแรงในเครื่องมือความเป็นส่วนตัวและซอฟต์แวร์ Coinjoin ได้รับการแก้ไขโดยผู้ดูแลโปรเจกต์หลังจากได้รับการแจ้งเตือนอย่างรับผิดชอบ

การตอบสนองของอุตสาหกรรม: เรียกร้องสิทธิ์เข้าถึง AI สำหรับฝ่ายป้องกัน

ขนาดและความรุนแรงของผลการตรวจสอบของ Bitcoin Red Team ทำให้เกิดการตอบสนองเชิงอุตสาหกรรมร่วมกัน เมื่อวันที่ 10 สิงหาคม 2026 Bitcoin Policy Institute (BPI) เผยแพร่จดหมายเปิดผนึกซึ่งลงนามโดย องค์กรกว่า 70 แห่ง ทั่วทั้งระบบนิเวศสินทรัพย์ดิจิทัล เรียกร้องให้ห้องปฏิบัติการ AI ชั้นนำดำเนินการตามข้อกำหนดเฉพาะ

ผู้ลงนามได้แก่ ผู้รับฝากทรัพย์สินรายใหญ่, กระดานเทรด, บริษัทขุด และกลุ่มพัฒนาโอเพนซอร์ส: Coinbase, Strategy (เดิมชื่อ MicroStrategy), Block, MARA, Galaxy, BitGo, Brink, OpenSats, Trezor, Kraken, Ledger, Anchorage Digital และ Chaincode Labs เป็นต้น

ข้อโต้แย้งหลักของจดหมายคือ "ฝ่ายป้องกันโอเพนซอร์สในปัจจุบันอยู่ในตำแหน่งที่เสียเปรียบมากที่สุดในภูมิทัศน์ความปลอดภัย AI" ข้อเรียกร้องสำคัญคือ:

• มอบ "สิทธิ์เข้าถึงที่เชื่อถือได้" (Trusted Access) แก่ผู้ป้องกันความปลอดภัย Bitcoin และโอเพนซอร์สที่ผ่านการตรวจสอบแล้ว ให้สามารถใช้โมเดล AI ระดับแนวหน้าได้ ไม่ใช่แค่เวอร์ชันที่เปิดให้สาธารณชนใช้ แต่รวมถึงน้ำหนักของโมเดลและความสามารถขั้นสูงที่สุดที่ผู้โจมตีใช้กันอยู่แล้ว
• ปิด "ช่องว่างการเข้าถึง AI" ที่เกิดขึ้นใหม่ — ผู้ไม่ประสงค์ดีสามารถเข้าถึง AI ที่ล้ำสมัยที่สุดได้อย่างไม่มีข้อจำกัดเพื่อค้นหาช่องโหว่และพัฒนาเอ็กซ์พลอยต์ ในขณะที่ผู้ป้องกันระบบนิเวศถูกจำกัดให้ใช้โมเดลที่อ่อนแอกว่าและเปิดให้สาธารณะใช้ได้เท่านั้น
• ให้สิทธิ์เข้าถึงก่อนกำหนดแบบควบคุม รวมถึงการเข้าถึงโมเดลล่วงหน้า ทรัพยากรการคำนวณ สภาพแวดล้อมที่ปลอดภัย และช่องทางการสื่อสารโดยตรงสำหรับนักวิจัยความปลอดภัยโอเพนซอร์สที่มีคุณสมบัติเหมาะสม

พันธมิตรเตือนว่าหากไม่มีสิทธิ์เข้าถึงนี้ โครงสร้างพื้นฐานทางการเงินที่สำคัญซึ่งสร้างขึ้นบนซอฟต์แวร์โอเพนซอร์สของ Bitcoin จะเผชิญกับภัยคุกคามที่ไม่สมดุลที่ทวีความรุนแรงขึ้น โดยที่ผู้โจมตีมีเครื่องมือ AI ที่เหนือกว่า ในขณะที่ผู้ป้องกันถูกปิดกั้น

จุดเปลี่ยนของความปลอดภัยโอเพนซอร์ส

การตรวจสอบของ Bitcoin Red Team แสดงให้เห็นทั้งพลังและข้อจำกัดของการสแกนความปลอดภัยด้วย AI ความสามารถในการระบุช่องโหว่ที่อาจเกิดขึ้นเกือบ 5,000 รายการใน 390 โปรเจกต์ภายในเวลามากกว่าหนึ่งวันเล็กน้อยนั้นเป็นสิ่งที่ไม่เคยเกิดขึ้นมาก่อน แต่อัตราการยืนยันซ้ำและการแจ้งเตือนต้นทางที่ต่ำเผยให้เห็นว่าการตรวจสอบโดยมนุษย์และการแจ้งเตือนอย่างรับผิดชอบยังคงเป็นปัญหาคอขวดที่สำคัญ

ทีมงานได้ประกาศแผนที่จะเปิดเผยชุดเครื่องมือรักษาความปลอดภัย AI ของตนเป็นโอเพนซอร์สเพื่อเสริมสร้างการป้องกันในระดับระบบนิเวศ ซึ่งจะช่วยให้ชุมชนนักพัฒนา Bitcoin ในวงกว้างสามารถสแกนด้วยตนเองได้อย่างอิสระ ซึ่งอาจเปลี่ยนการวิ่งระยะสั้นครั้งเดียวให้กลายเป็นแนวปฏิบัติด้านความปลอดภัยที่ยั่งยืน

คำถามพื้นฐานที่ยังไม่มีคำตอบคือ ฝ่ายป้องกันจะได้รับเครื่องมือ AI ที่พวกเขาต้องการก่อนที่ผู้โจมตีจะได้รับหรือไม่