Bitcoin Red Team AI審計：85個致命漏洞 + OpenAI突撤權限 內幕

2026年7月，Bitcoin硬件錢包界發生咗一單震驚全行業嘅黑客事件：Coldcard錢包因為一個存在咗五年嘅韌體漏洞，畀黑客偷走咗超過1.16億美元嘅Bitcoin，受影響嘅錢包超過5,200個。事件發生冇幾耐之後，一個由16個保安研究員組成嘅義工團隊「Bitcoin Red Team」就發起咗一場前所未有嘅AI輔助安全審計行動。佢哋嘅發現——同埋之後OpenAI點樣中途cut咗個領隊嘅API權限——瞬間成為人工智能同網絡安全界嘅新戰場。

咩係Bitcoin Red Team行動？

Bitcoin Red Team係一個由Bitcoin開發者Calle（匿名）同AnchorWatch行政總裁Rob Hamilton共同領導嘅自願保安組織。2026年8月初，呢個團隊發動咗一次大規模嘅AI輔助安全掃描，目標係Bitcoin嘅開源生態系統。喺大約27.5到30個鐘之內，16個研究員利用AI模型審計咗390個Bitcoin開源項目，總共提交咗4,962個安全發現。非牟利組織OpenSats負責畀咗大約4萬美元嘅AI運算費用。

點解要回應Coldcard黑客事件？

呢次審計行動係直接回應2026年7月嘅Coldcard硬件錢包漏洞嘅。事件詳情如下：

• 漏洞根源：Coldcard喺2021年3月推出嘅韌體版本4.0.0，喺產生錢包種子短語（seed phrase）嗰時，錯誤咁繞過咗硬件隨機數生成器，改用咗一個可預測嘅軟件替代品。密鑰強度由原本128-bit跌到得返可暴力破解嘅40-bit。
• 攻擊過程：2026年7月30日開始，黑客利用呢個漏洞大量盜取資金。第一波攻擊喺41分鐘之內就掃咗1,196個地址，偷走1,082.65 BTC（當時約值7,000萬美元）。
• 總損失：之後幾波攻擊令損失總額超過1.16億美元，受影響地址超過5,200個，部分估算更加話超過1.3億美元。至少十幾個唔同嘅黑客組織參與咗。
• Coinkite嘅反應：Coinkite呼籲用戶更新韌體同轉移資金，但係嗰陣時大部分損失已經造成。

Bitcoin Red Team就係為咗防止類似漏洞——例如隨機數生成器問題、弱加密做法等等——再次畀黑客利用，所以先展開呢次審計。

主要發現同方法

審計結果一覽

指標	數字
總共提交發現	4,962
致命嚴重性問題	85
高嚴重性問題	635
高或致命程度合計	720
可重複發現嘅比率	21.4%
審計項目數量	390
團隊人數	16 位研究員

呢個海量發現——一日近5,000個報告——為下游嘅維護者帶嚟一個巨大嘅分類問題。雖然只有大約五分一嘅發現被確認係可重複，但團隊話，考慮到Coldcard攻擊嘅嚴重性，即使係邊緣問題都應該提出。

審計方法

• 團隊用開放權重AI模型掃描代碼庫，尋找已知嘅漏洞模式、加密弱點同邏輯錯誤。
• 人類研究員指導AI、驗證結果，並提交負責任披露報告。
• 團隊計劃開源佢哋嘅AI安全框架，等整個社群可以繼續進行自動化掃描。
• 審計重點包括錢包、加密庫同Bitcoin基礎設施項目——即係如果出錯就可能引發另一次Coldcard級別損失嘅代碼。

點解OpenAI中途撤銷咗領隊嘅權限？

Rob Hamilton（AnchorWatch行政總裁兼行動共同領袖）之前已經登記咗OpenAI嘅「Trust Cyber」計劃，呢個計劃係畀獲批嘅保安研究員以補貼價API權限進行漏洞研究。但喺2026年8月8日至9日期間，Hamilton已經將呢個計劃整合到佢嘅工作流程入面，並且提交咗有效嘅披露報告之後，OpenAI冇解釋就撤銷咗佢嘅權限。

• Hamilton公開話佢「被阻止繼續分析一個我已經負責任披露過、而且收到確認有合法發現嘅代碼庫」。
• 呢次撤銷令Bitcoin Red Team被迫轉用限制較少嘅AI模型，包括中國開放權重替代品。呢個轉變被廣泛關注同批評，認為係美國AI喺保安研究競爭力上嘅一個挫折。
• OpenAI至今未有公開解釋原因。公司嘅研究員訪問計劃FAQ話，積分係酌情授予同可以撤回，但冇任何具體政策違規被引用嚟針對Hamilton。