AnswersPublished32 sources
AI-аудит Bitcoin знайшов 4 962 потенційні проблеми, але вузьке місце — перевірка людьми
За приблизно 27,5 години 16 учасників Bitcoin Red Team подали 4 962 потенційні знахідки у близько 390 Bitcoin проєктах; 85 із них позначили як критичні, а 635 — як високого рівня серйозності. Це не 4 962 підтверджені експлуатовані вразливості: незалежно відтворити вдалося лише близько 21,4% повідомлень.
ОпублікувавВідредаговано за допомогою GPT-5.6 TerraЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- За приблизно 27,5 години 16 учасників Bitcoin Red Team подали 4 962 потенційні знахідки у близько 390 Bitcoin проєктах; 85 із них позначили як критичні, а 635 — як високого рівня серйозності.
- Це не 4 962 підтверджені експлуатовані вразливості: незалежно відтворити вдалося лише близько 21,4% повідомлень.
- ШІ здешевлює пошук підозрілих ділянок коду, але відтворення, тріаж, відповідальне розкриття, виправлення та розгортання оновлень залишаються роботою людей.
- Історія Boltz показала практичний розрив у швидкості: сервіс призупинив свопи, заявивши, що автоматизоване AI підсилене зондування випередило можливості невеликої команди з випуску патчів.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the 16-member Bitcoin Red Team, led by Rob Hamilton and developer Calle and funded by OpenSats, use frontier AI models to scan about. Article summary: The audit showed that AI can generate security leads at a rate far beyond what a small open-source ecosystem can validate and patch. Its reported figures are therefore a warning signal—not proof that all 4,962 items were. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
AI-інструменти вже дозволяють перевіряти відкритий код Bitcoin-екосистеми у масштабі, який раніше був недосяжним для невеликої волонтерської групи. У серпні 2026 року Bitcoin Red Team заявила, що за приблизно 27,5 години перевірила близько 390 пов’язаних із Bitcoin репозиторіїв і подала 4 962 повідомлення про потенційні проблеми безпеки. Із них 85 команда класифікувала як критичні, а 635 — як високого рівня серйозності. Але головне уточнення: це ліди для перевірки, а не 4 962 вже доведені й придатні до експлуатації вразливості. 11
24
Що саме зробила Bitcoin Red Team
У 16-особовій групі, за повідомленнями, працювали розробник Calle та CEO AnchorWatch Роб Гамільтон. Для аудиту використали людсько-керований процес із кількома моделями ШІ; витрати на обчислення, що перевищили $40 000, профінансувала OpenSats — некомерційна організація, яка підтримує розробку Bitcoin з відкритим кодом. У публікаціях згадувалися моделі Kimi K3, GPT Sol, Fable, Opus і GLM 5.2. 2
5
12
Масштаб короткого спринту був незвичним: близько 390 репозиторіїв, а створена для перевірки інфраструктура охоплювала 171 599 рядків коду. Загалом до категорій «висока» та «критична» команда віднесла 720 знахідок. 23
27
Моделі можуть швидко шукати небезпечні патерни, простежувати підозрілі потоки даних і пропонувати гіпотези щодо експлуатації. Проте виявити щось підозріле — не те саме, що підготувати якісний звіт для супровідників проєкту або випустити безпечне виправлення.
Чому 4 962 — не кількість підтверджених вразливостей
Цю цифру варто сприймати як чергу кандидатів, які потребують перевірки. На ранньому етапі незалежно відтворити вдалося лише 21,4% знахідок. Для кожного повідомлення фахівець має з’ясувати, чи існує описана поведінка у відповідній версії та конфігурації ПЗ, чи її можна реально використати, чи не є це дублікатом, і якою є фактична серйозність проблеми. 11
15
Повноцінна реакція на вразливість зазвичай включає:
- відтворення проблеми в реальному середовищі;
- відсіювання хибних спрацьовувань і дублікатів;
- оцінку можливості експлуатації та впливу на користувачів;
- приватну координацію розкриття з розробниками;
- написання вузького патчу та тестів;
- перевірку на регресії;
- доставку оновлення операторам і користувачам.
ШІ суттєво здешевив перший етап — створення технічних зачіпок. Але він не скасував потреби в експертній відповідальності на всіх наступних етапах. За даними публікацій, до супровідників проєктів дійшла лише частина повідомлень, тож пропускна спроможність відповідального розкриття також стала обмеженням. 14
Чому поштовхом став інцидент із Coldcard
Аудит відбувся після інциденту з апаратними гаманцями Coldcard. Повідомлялося, що помилка у прошивці від березня 2021 року спрямовувала генерацію seed-фрази до передбачуваного програмного генератора випадковості замість запланованого апаратного генератора випадкових чисел. За певних умов це могло дозволити відтворити приватні ключі. 42
45
Оцінка збитків змінювалася в міру виявлення нової активності. CoinDesk повідомляв про можливу сукупну суму близько $114 млн у чотирьох хвилях, тоді як інші публікації оцінювали викрадене в приблизно 1 816 BTC у період із 30 липня до 3 серпня. 41
42
Це не була несправність базової криптографії Bitcoin. Інцидент показав, що дефект у суміжному програмному забезпеченні для самостійного зберігання криптоактивів може мати масштабні наслідки.
Один об’єднаний патч — і межа між звітом та виправленням
Відчутним результатом став внесок Гамільтона до Bitcoin Core, який, за повідомленнями, 20 серпня об’єднали з основною гілкою проєкту. Зміна виправляла пов’язаний із гаманцем баг, що спричиняв аварійне завершення роботи. Це приклад того, як AI-підсилена знахідка пройшла звичайний процес перевірки коду та інтеграції. 13
Водночас цей випадок добре пояснює, чому загальну кількість автоматично створених звітів не слід плутати з кількістю виправлених проблем. Об’єднаний патч має чітко визначений дефект, рецензовану зміну та прийняття супровідниками активного кодового проєкту — це значно вищий поріг, ніж початковий сигнал моделі.
Обмеження доступу OpenAI та дилема для захисників
Гамільтон заявляв, що програма OpenAI Trust Cyber обмежила йому доступ після початку інтеграції кіберможливостей компанії в аудит. За даними медіа, група продовжила роботу з альтернативними, зокрема open-weight, моделями. 18
21
32
Тут виникає складне питання політики доступу. Потужні кібермоделі можуть допомагати захисникам виявляти вади, але ці самі можливості можуть бути використані зловмисниками. Критика Гамільтона полягала в тому, що затримки для відомих захисників створюють практичну нерівновагу, якщо інші моделі, включно з локально запущеними, лишаються доступними атакувальникам. Це аргумент про доступ і швидкість операцій, а не доказ того, що обмеження інструментів одного постачальника зупиняє дослідження безпеки чи зловмисне використання загалом. 21
Boltz як приклад тиску на малі команди
Окремо Bitcoin-сервіс обміну Boltz у серпні безстроково призупинив свопи. Команда пояснила рішення зростанням автоматизованого AI-підсиленого зондування, яке випередило її можливості із захисту системи та розгортання виправлень. Водночас функції повернення коштів залишилися доступними. 28
29
30
Це не означає, що кожна атака, де використовують ШІ, є складною чи успішною. Проте випадок Boltz наочно демонструє асиметрію: автоматизований пошук і зондування можуть тривати безперервно, тоді як невелика команда мусить розслідувати кожне сповіщення та обережно випускати кожне виправлення.
Чому сильніші моделі змінюють оцінку ризику
Bitcoin і велика частина пов’язаних із ним сервісів мають відкритий код. Це дає незалежну перевірку й прозорість, але водночас і захисники, і нападники бачать той самий код. Занепокоєння Гамільтона та коментатора CobraBitcoin не в тому, що open source нібито сам по собі небезпечний. Йдеться про те, що дедалі спроможніші моделі можуть скоротити час і вимоги до експертизи для пошуку рідкісної помилки одразу в сотнях репозиторіїв. 17
21
OpenAI заявляє, що GPT-6 Astra досягла рівня Critical за її Preparedness Framework для кіберможливостей. За твердженням компанії, за наявності потрібних інструментів і доступу Astra може знаходити раніше невідомі вади та розробляти способи їх експлуатації в багатьох добре захищених системах без покрокового керування людиною. 19
22
Ця заява не доводить, що Astra застосовували в аудиті Bitcoin Red Team, і не встановлює, що передова модель спричинила компрометацію Bitcoin. Вона, однак, пояснює, чому розробники зосереджені на швидкості реакції: якщо моделі стають кращими в аналізі репозиторіїв і розробці експлойтів, головним обмеженням стає не пошук можливостей, а оперативне доведення, виправлення та розгортання захисту для справді важливих випадків.
Ключова інвестиція — спроможність перевіряти
Спринт Bitcoin Red Team радше є попередженням про пропускну спроможність, ніж рекордом заради рекорду. Системи безпеки вже можуть швидко створювати тисячі правдоподібних сигналів. Їхня стійкість залежатиме від фінансування незалежного відтворення, безпечних каналів звітування, часу супровідників, рецензування коду, тестування та швидкого оновлення програм.
Тому наступний важливий показник для Bitcoin-проєктів — не найбільша кількість AI-генерованих знахідок, а частка звітів, що перетворюються на підтверджені вразливості, скоординовані патчі та розгорнутий захист до того, як встигнуть діяти нападники. 15
14
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AI-аудит Bitcoin знайшов 4 962 потенційні проблеми, але вузьке місце — перевірка людьми"?
За приблизно 27,5 години 16 учасників Bitcoin Red Team подали 4 962 потенційні знахідки у близько 390 Bitcoin проєктах; 85 із них позначили як критичні, а 635 — як високого рівня серйозності.
What are the key points to validate first?
За приблизно 27,5 години 16 учасників Bitcoin Red Team подали 4 962 потенційні знахідки у близько 390 Bitcoin проєктах; 85 із них позначили як критичні, а 635 — як високого рівня серйозності. Це не 4 962 підтверджені експлуатовані вразливості: незалежно відтворити вдалося лише близько 21,4% повідомлень.
What should I do next in practice?
ШІ здешевлює пошук підозрілих ділянок коду, але відтворення, тріаж, відповідальне розкриття, виправлення та розгортання оновлень залишаються роботою людей.
Sources
forklog.comBitcoin Red Team Identifies Thousands of Issues in 390 ... - ForkLog
coinpaper.comBitcoin Red Team Flags Nearly 5000 Security Issues in 30 ...
finance.yahoo.com85 Critical Flaws Found as AI-Powered Bitcoin Security Audit Hits ...
bbx.comBitcoin Red Team completes open source code repository ...