Revista Bitcoin
El Equipo Rojo de Bitcoin Encuentra 85 Fallos Críticos en 390 Repositorios de Código Abierto Tras la Explotación de Coldcard
Impulsada por la reciente y catastrófica vulnerabilidad en las billeteras de hardware Coldcard, explotada por más de $100 millones, la comunidad de Bitcoin se ha unido para prevenir futuros errores críticos en el software de código abierto de la industria.
PSA: Cualquier usuario de billeteras Coldcard que no haya migrado su bitcoin a nuevas semillas generadas en firmware seguro sigue en riesgo. Puede que no sea demasiado tarde para actuar; consulte el aviso sobre el asunto.
Dirigido por Calle, ingeniero de software, ávido codificador de vibras y creador de la versión de Android de Bitchat, y Rob Hamilton, CEO de Anchorwatch, una compañía de seguros de autocustodia de Bitcoin, el Equipo Rojo de Bitcoin ha asegurado financiamiento, con más de $40,000 gastados en tokens de IA para auditar más de 390 repositorios de código abierto en Bitcoin.
Coloquialmente llamado el “Equipo Rojo de Bitcoin”, con memes sobre Rob Hamilton y Calle ahora siendo el CEO y CTO de Bitcoin, esta auditoría de seguridad impulsada por IA está teniendo un impacto serio en toda la industria. Hace solo unos días, enterrado en las noticias de robos en curso de bitcoin de Coldcards MK3+ debido a un error de RNG, el intercambio Boltz anunció que pausaría operaciones para ponerse al día con los intentos de hackeo impulsados por IA.
“27.5 horas después, hemos presentado 4,962 hallazgos en 390 proyectos. 85 problemas críticos y 635 de alta gravedad. Estamos en 2.31 hallazgos h+c por persona por hora,” dijo Calle en la actualización más reciente sobre los esfuerzos del Red Team para fortalecer la ciberseguridad de la industria.
El esfuerzo de revisión de seguridad del Red Team está utilizando modelos como Kimi K3, GPT Sol, Fable, Opus y GLM5.2, algunos de los modelos más caros y avanzados del mercado. Al principio, el acceso a los modelos de OpenAI y Anthropic era limitado, lo que llevó a una dependencia excesiva de modelos de código abierto chinos, un hecho que muchos en la industria lamentaron y vieron como un mal presagio para el dominio de la IA en EE. UU. Pero a medida que el proyecto del Red Team creció en influencia desde el hackeo de Coldcard la semana pasada, se han establecido y confirmado conexiones con OpenAI, dando al Red Team acceso a GPT Sol. La mención de Fable por parte de Hamilton en su tweet del 4 de agosto sugiere que también se ha establecido acceso a Anthropic.
Los gastos que se contabilizaron por última vez en más de $40,000 han sido cubiertos por OpenSats, una organización sin fines de lucro 501c3 dedicada a financiar proyectos de desarrollo de Bitcoin de código abierto. El Red Team de Bitcoin actualmente no tiene un sitio web ni un repositorio de GitHub al que vincularse, pero el equipo está compuesto por muchas personas dentro de la industria del Bitcoin. Las personas agradecidas públicamente por su apoyo incluyen, entre otros, a danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.
Hamilton compartió que se ha construido un arnés personalizado que está evolucionando rápidamente. Compuesto en un momento por 171,599 líneas de código, el arnés está diseñado para identificar y probar bibliotecas de software crítico de Bitcoin y código de alta carga, identificar y documentar vulnerabilidades, reproducirlas y empaquetar los datos probados en informes útiles. En última instancia, entregando la información de manera responsable a los ingenieros de la industria. Hamilton también compartió que el Red Team tiene la intención de hacer que el arnés sea de código abierto para que las empresas de Bitcoin puedan ejecutarlo contra su código cerrado.
El Red Team está contactando activamente a proyectos de código abierto relevantes con vulnerabilidades críticas descubiertas, lo que lleva a un amplio sentido de temor entre los ingenieros de la industria cuando reciben mensajes directos fríos de Hamilton o Calle, como se ve en varias capturas de pantalla humorísticas compartidas en las redes sociales.
Entre las ideas clave compartidas públicamente por el Red Team mientras se lleva a cabo esta actualización de seguridad impulsada por IA de Bitcoin FOSS, Hamilton compartió que los ingenieros con conocimientos específicos podrían a veces obtener resultados de alto valor del arnés, que de otro modo podrían “oler que algo está mal”, pero podrían estar perdiendo contexto específico. Una idea que habla sobre la importancia de que la inteligencia y la experiencia humanas trabajen de la mano con la IA para identificar de manera eficiente vulnerabilidades críticas.
Hamilton también terminó un esfuerzo del Red Team de varios días después del hack de Coldcard con algunas notas personales. Dijo que la vulnerabilidad descubierta en los generadores de números aleatorios de Coldcard y la consiguiente explotación del error por parte de los hackers había sido un “ataque espiritual” a Bitcoin y al ethos de autocustodia de la industria, “lo digo en el sentido literal de las palabras”. Después de expresar su pesar por las pérdidas sufridas por muchos Bitcoiners durante este hack ahora histórico, Hamilton cerró su tweet con un tono de resolución firme:
“Aunque las cosas no son fáciles en este momento. Tengo la mayor convicción de mi vida de que la idea y la tecnología de Bitcoin valen la pena luchar. Con ese fin. No hay Bitcoin sin autocustodia. Esto es innegociable.”
Esta publicación Bitcoin Red Team Encuentra 85 Fallos Críticos en 390 Repositorios de Código Abierto Después de la Explotación de Coldcard apareció por primera vez en Bitcoin Magazine y está escrita por Juan Galt.
Fuente: BitcoinMagazine
