Bitcoin Red Team’in Yapay Zeka Destekli Denetimi: 390 Projede 4.962 Güvenlik Bulgusu

Ağustos 2026'nın başında, kendilerine Bitcoin Red Team adını veren 16 gönüllü güvenlik araştırmacısından oluşan bir ekip, hiçbir şirketin veya geliştirici ekibinin tek başına başaramayacağı bir işi başardı: 27,5 saat içinde 390 açık kaynak Bitcoin deposunu taradılar ve yaklaşık 5.000 potansiyel güvenlik sorununu işaretlediler. Yapay zeka destekli bu denetimde 85 kritik ve 635 yüksek önem dereceli güvenlik açığı tespit edildi ve bu durum, yapay zekanın açık kaynak güvenliğindeki rolü ve savunucuların ön cephe yapay zeka modellerine erişimi konusunda acil tartışmaları ateşledi .

Keşfin Boyutu

Bitcoin Red Team, 4-5 Ağustos 2026 tarihleri arasında gerçekleştirdiği 27,5 saatlik maraton denetimde, 390 açık kaynak Bitcoin projesinde toplam 4.962 güvenlik bulgusu kaydetti . Bunlardan 85'i Kritik, 635'i ise Yüksek önem dereceli olarak sınıflandırıldı; yani toplamda 720 bulgu (tümünün %14,5'i) yüksek veya kritik olarak değerlendirildi . Bu, proje başına ortalama 1,85 ciddi sorun ve saatte 166 bulgu bildirme hızı anlamına geliyor . Ekibin lideri geliştirici Calle, kişi başına saatte ortalama 2,31 yüksek veya kritik bulgu tespit edildiğini bildirdi .

Bu çaba, OpenSats (501(c)(3) kar amacı gütmeyen kuruluş), OpenCode ve AnchorWatch tarafından finanse edilen 40.000 doların üzerinde yapay zeka hesaplama tokeni maliyetiyle gerçekleştirildi . Ekip, bir noktada 171.599 satır kod içeren ve Kimi K3, GPT Sol, Fable, Opus ve GLM5.2 gibi ön cephe yapay zeka modellerini entegre eden özel bir güvenlik koşum takımı kullandı .

14 Ağustos 2026 itibarıyla — 108 saatlik çalışmanın ardından — ekip incelemeyi 501 projeye genişletti ve toplam 7.958 bulguya ulaştı; bunlardan 1.280'i yüksek veya kritik olarak sınıflandırıldı .

Denetim Süreci Nasıl İşledi?

Bitcoin Red Team, dünya geneline yayılmış ve zaman dilimleri arasında kesintisiz çalışan bir ekip olarak faaliyet gösterdi . Süreç, yapay zeka destekli kod taraması ile insan denetimini birleştirdi, ancak sonuçların hacmi önemli bir doğrulama darboğazı yarattı.

Doğrulama oranı. İlk 29,8 saatte, bulguların yalnızca %21,4'ü insan denetçiler tarafından başarıyla doğrulanabildi; bu, büyük çoğunluğun doğrulanmamış potansiyel sorunlar olarak kaldığı anlamına geliyor . 108. saatte doğrulama oranı %24,7'ye yükseldi . Ekip, bu başlangıçtaki önem derecesi değerlendirmelerinin nihai doğrulanmış güvenlik açıkları olmadığını vurguladı .

Bildirim süreci. İlk raporlama sırasında, incelenen 390 projenin %5'inden azına yukarı akış bildirimi yapılmıştı; bu da sorumlu bildirim konusunda önemli bir birikim olduğunu gösteriyor . Ekip, sıkı bir ifşa süreci izledi: kritik bulgular, herhangi bir kamuya açıklamadan önce bakım ekiplerine özel olarak bildirildi ve ekip, açıkları doğrulamak için çalışan kanıt konseptleri (proof-of-concept) oluşturdu .

En çok etkilenen proje kategorileri. Gizlilik ve coinjoin araçları, bulguların %24'ü ile en yüksek kritik veya yüksek önem dereceli bulgu oranına sahipti . Kriptografik kütüphaneler ve SDK'lar, 1.101 bulgu ile en büyük ham hacmi oluşturdu .

Denetimi Tetikleyen Coldcard Güvenlik Açığı

Bitcoin Red Team'in denetimi, doğrudan Coldcard donanım cüzdanı RNG (rastgele sayı üretici) güvenlik açığına bir yanıttı. Coinkite'in Coldcard cihazındaki bu kritik donanım yazılımı hatası, Mart 2021'den 2026'ya kadar tohum oluşturmayı donanım rastgeleliği yerine zayıf bir yazılım PRNG'si üzerinden yönlendiriyordu . Bu açık, uzun vadeli kullanıcılardan yaklaşık 1.816 BTC'nin (100 milyon doların üzerinde) çalınmasını sağladı .

Coldcard hatası Red Team'in kurulmasından önce keşfedilmiş olsa da, olay yaygın olarak güvenilen bir soğuk depolama cihazındaki tek bir yamalanmamış güvenlik açığının ne kadar yıkıcı olabileceğini gösterdi. Coinkite, güvenlik açığının ifşa edilmesinin ardından düzeltilmiş bir donanım yazılımı yayınladı .

Red Team'in denetimi, ekosistemin bu olaya verdiği bir yanıttı: yapay zeka destekli taramadan elde edilen, gizlilik araçları ve coinjoin yazılımlarındaki kritik sorunlar da dahil olmak üzere birden fazla bulgu, sorumlu bildirimin ardından bakım ekipleri tarafından düzeltildi .

Sektörün Yanıtı: Savunucular İçin Yapay Zeka Erişimi Talebi

Bitcoin Red Team'in bulgularının ölçeği ve ciddiyeti, koordineli bir sektör yanıtını tetikledi. 10 Ağustos 2026'da, Bitcoin Policy Institute (BPI), dijital varlık ekosisteminden 70'ten fazla kuruluşun imzaladığı bir açık mektup yayınlayarak ön cephe yapay zeka laboratuvarlarına belirli eylemler çağrısında bulundu .

İmzacılar arasında büyük saklama kuruluşları, borsalar, madencilik firmaları ve açık kaynak geliştirme grupları yer aldı: Coinbase, Strategy (eski adıyla MicroStrategy), Block, MARA, Galaxy, BitGo, Brink, OpenSats, Trezor, Kraken, Ledger, Anchorage Digital ve Chaincode Labs .

Mektubun temel argümanı, "açık kaynak savunucularının bugün yapay zeka güvenlik ortamında en ayrıcalıklı konumda olmadığı" yönündeydi . Temel talepler şunlardı:

• Doğrulanmış Bitcoin ve açık kaynak güvenlik savunucularına ön cephe yapay zeka modellerine "güvenilir erişim" sağlanması — yalnızca herkese açık sürümler değil, saldırganların halihazırda kullandığı en gelişmiş model ağırlıkları ve yetenekleri .
• Ortaya çıkan "yapay zeka erişim açığının" kapatılması — kötü niyetli aktörler, güvenlik açığı keşfi ve istismar geliştirme için en son teknoloji yapay zekaya sınırsız erişime sahipken, ekosistem savunucuları daha zayıf, herkese açık modellerle sınırlı kalıyor .
• Kontrollü erken erişim sağlanması — erken model erişimi, hesaplama gücü, güvenli ortamlar ve nitelikli açık kaynak güvenlik araştırmacıları için doğrudan iletişim kanalları dahil .

Koalisyon, bu erişim olmadan, açık kaynak Bitcoin yazılımı üzerine inşa edilmiş kritik finansal altyapının, saldırganların üstün yapay zeka araçlarıyla çalıştığı ve savunucuların dışarıda bırakıldığı artan bir asimetrik tehditle karşı karşıya kalacağı konusunda uyardı .

Açık Kaynak Güvenliğinde Dönüm Noktası

Bitcoin Red Team'in denetimi, yapay zeka destekli güvenlik taramasının hem gücünü hem de sınırlamalarını gösterdi. Sadece bir günden biraz fazla bir sürede 390 projede yaklaşık 5.000 potansiyel sorunu işaretlemek eşi benzeri görülmemiş bir başarı — ancak düşük doğrulama ve bildirim oranları, insan doğrulaması ve sorumlu ifşanın kritik darboğazlar olarak kaldığını ortaya koydu .

Ekip, ekosistem çapında savunmayı güçlendirmek için yapay zeka güvenlik koşum takımını açık kaynak haline getirmeyi planladığını açıkladı . Bu, daha geniş Bitcoin geliştirici topluluğunun benzer taramaları bağımsız olarak çalıştırmasına olanak tanıyacak ve potansiyel olarak tek seferlik bir maratonu kalıcı bir güvenlik uygulamasına dönüştürebilecek.

Cevapsız kalan temel soru: Savunucular, saldırganlardan önce ihtiyaç duydukları yapay zeka araçlarını alabilecek mi?