Bitcoin Red Team AI審計：85個致命漏洞 + OpenAI突撤權限 內幕

點解要回應Coldcard黑客事件？

呢次審計行動係直接回應2026年7月嘅Coldcard硬件錢包漏洞嘅。事件詳情如下：

• 漏洞根源：Coldcard喺2021年3月推出嘅韌體版本4.0.0，喺產生錢包種子短語（seed phrase）嗰時，錯誤咁繞過咗硬件隨機數生成器，改用咗一個可預測嘅軟件替代品。密鑰強度由原本128-bit跌到得返可暴力破解嘅40-bit。
• 攻擊過程：2026年7月30日開始，黑客利用呢個漏洞大量盜取資金。第一波攻擊喺41分鐘之內就掃咗1,196個地址，偷走1,082.65 BTC（當時約值7,000萬美元）。
• 總損失：之後幾波攻擊令損失總額超過1.16億美元，受影響地址超過5,200個，部分估算更加話超過1.3億美元。至少十幾個唔同嘅黑客組織參與咗。
• Coinkite嘅反應：Coinkite呼籲用戶更新韌體同轉移資金，但係嗰陣時大部分損失已經造成。

Bitcoin Red Team就係為咗防止類似漏洞——例如隨機數生成器問題、弱加密做法等等——再次畀黑客利用，所以先展開呢次審計。

主要發現同方法

審計結果一覽

呢個海量發現——一日近5,000個報告——為下游嘅維護者帶嚟一個巨大嘅分類問題。雖然只有大約五分一嘅發現被確認係可重複，但團隊話，考慮到Coldcard攻擊嘅嚴重性，即使係邊緣問題都應該提出。

審計方法

• 團隊用開放權重AI模型掃描代碼庫，尋找已知嘅漏洞模式、加密弱點同邏輯錯誤。
• 人類研究員指導AI、驗證結果，並提交負責任披露報告。
• 團隊計劃開源佢哋嘅AI安全框架，等整個社群可以繼續進行自動化掃描。
• 審計重點包括錢包、加密庫同Bitcoin基礎設施項目——即係如果出錯就可能引發另一次Coldcard級別損失嘅代碼。

點解OpenAI中途撤銷咗領隊嘅權限？

Rob Hamilton（AnchorWatch行政總裁兼行動共同領袖）之前已經登記咗OpenAI嘅「Trust Cyber」計劃，呢個計劃係畀獲批嘅保安研究員以補貼價API權限進行漏洞研究。但喺2026年8月8日至9日期間，Hamilton已經將呢個計劃整合到佢嘅工作流程入面，並且提交咗有效嘅披露報告之後，OpenAI冇解釋就撤銷咗佢嘅權限。

• Hamilton公開話佢「被阻止繼續分析一個我已經負責任披露過、而且收到確認有合法發現嘅代碼庫」。
• 呢次撤銷令Bitcoin Red Team被迫轉用限制較少嘅AI模型，包括中國開放權重替代品。呢個轉變被廣泛關注同批評，認為係美國AI喺保安研究競爭力上嘅一個挫折。
• OpenAI至今未有公開解釋原因。公司嘅研究員訪問計劃FAQ話，積分係酌情授予同可以撤回，但冇任何具體政策違規被引用嚟針對Hamilton。