Bitcoin Red Team знайшов 85 критичних помилок в екосистемі біткоїна за допомогою ШІ — після крадіжки $116 млн через Coldcard

Що таке кампанія Bitcoin Red Team?

Bitcoin Red Team — це волонтерська ініціатива з безпеки, яку спільно очолюють псевдонімний розробник біткоїна Calle та Роб Гамільтон, CEO компанії зі зберігання біткоїна AnchorWatch . На початку серпня 2026 року група запустила швидку перевірку безпеки відкритої екосистеми біткоїна за допомогою ШІ. Протягом приблизно 27,5–30 годин 16 дослідників безпеки використовували ШІ-моделі для аудиту 390 відкритих репозиторіїв біткоїна, подавши 4 962 звіти про вразливості . Некомерційна організація OpenSats покрила витрати на ШІ-обчислення — приблизно $40 000 загалом, або близько $10 000 на день .

Як це стало відповіддю на злом Coldcard

Кампанія була прямою відповіддю на експлойт апаратного гаманця Coldcard у липні 2026 року . Ось що сталося під час того злому:

• Вразливість: Помилка в мікропрограмі, введена у версії 4.0.0 прошивки Coldcard (березень 2021 року), змушувала пристрій обходити спеціалізований апаратний генератор випадкових чисел під час створення seed-фраз . Це робило seed-фрази гаманців передбачуваними — надійність ключа впала зі 128 бітів до 40 .
• Атака: Починаючи з 30 липня 2026 року, зловмисники використовували цю ваду, щоб спустошувати гаманці. Перша хвиля вразила 1 196 адрес за 41 хвилину, вкравши 1 082,65 BTC (~$70 млн на той час) .
• Загальні втрати: Кілька хвиль вивели загальну суму понад $116 млн із більш ніж 5 200 адрес, а деякі оцінки сягають $130 млн . Щонайменше десяток різних хакерів були залучені .
• Реакція Coinkite: Компанія закликала користувачів оновити мікропрограму та переказати кошти, але на той час більша частина шкоди вже була завдана .

У відповідь на це Bitcoin Red Team запустив свій аудит, щоб знайти подібні помилки в генераторах випадкових чисел, слабкі криптографічні практики та інші системні дефекти, перш ніж зловмисники зможуть ними скористатися .

Ключові результати та методи

Результати

Величезний обсяг — майже 5 000 звітів за день — створив серйозну проблему з обробкою для супроводжувачів проєктів . Лише приблизно кожна п'ята знахідка підтвердилася як відтворювана, але група стверджувала, що повідомляти про сумнівні проблеми було виправдано з огляду на масштаб атаки на Coldcard .

Методи

• Команда використовувала ШІ-моделі з відкритою вагою для сканування кодової бази на наявність відомих шаблонів вразливостей, криптографічних слабкостей та логічних помилок .
• Дослідники-люди направляли ШІ, перевіряли результати та подавали звіти про відповідальне розкриття інформації .
• Група планує відкрити вихідний код свого інструменту безпеки на основі ШІ, щоб ширша спільнота могла продовжити автоматизоване сканування .
• Вони зосередилися на гаманцях, криптографічних бібліотеках та інфраструктурних проєктах біткоїна — на тому коді, помилки в якому могли б призвести до втрат масштабу Coldcard .

Чому OpenAI відкликала доступ головному досліднику під час проєкту

Роб Гамільтон (CEO AnchorWatch і співкерівник кампанії) був учасником програми OpenAI «Trust Cyber», яка надає схваленим дослідникам безпеки дотаційний API-доступ для дослідження вразливостей . 8/9 серпня 2026 року, після того як він уже інтегрував програму в свій робочий процес і подав дійсні звіти, OpenAI відкликала його доступ без пояснень .

• Гамільтон публічно заявив, що його «заблокували від проведення додаткового аналізу кодової бази, про яку я вже відповідально повідомив і отримав підтвердження наявності законних знахідок» .
• Відкликання змусило Bitcoin Red Team перейти на менш обмежувальні ШІ-моделі, зокрема китайські альтернативи з відкритою вагою, що було широко помічено та розкритиковано як невдача для конкурентоспроможності США в галузі ШІ для безпекових досліджень .
• OpenAI публічно не деталізувала свої міркування. У FAQ програми доступу для дослідників зазначається, що кредити надаються на розсуд компанії і можуть бути відкликані, але жодного конкретного порушення політики Гамільтоном не було названо .