Los desarrolladores voluntarios presentaron 4,962 hallazgos de seguridad en 390 proyectos de Bitcoin en aproximadamente 30 horas. De las 391 bases de código que revisaron, exactamente una volvió limpia.
El grupo se llama a sí mismo el Equipo Rojo de Bitcoin. Calificó 720 de esos hallazgos como altos o críticos. Solo 147 han llegado a los mantenedores que deben solucionarlos.
Cada 1 de 7 Hallazgos es Grave
La división de severidad es más estrecha de lo que sugiere el total bruto. Los revisores registraron 85 problemas críticos y 635 altos.
Eso equivale al 14.5% de todo lo presentado. El resto se encuentra en categorías media, baja o informativa. Otros 246 hallazgos no tienen etiqueta de severidad en absoluto.
La calidad de la evidencia también varía. Aproximadamente el 21.4% vino con código de prueba de concepto funcional. Aproximadamente el 91% llegó a través de escaneo automatizado. Los revisores descartaron solo ocho como falsos positivos.
Síguenos en X para obtener las últimas noticias a medida que suceden
Una Hora Produjo el 83% de los Hallazgos
El marco de 30 horas necesita una advertencia. Una sola hora absorbió 4,101 hallazgos. Ese pico fue un relleno, no un escaneo en vivo. Rob Hamilton, director ejecutivo del asegurador de Bitcoin AnchorWatch, realizó su propia revisión antes de que la campaña comenzara formalmente.
Dijo que gastó más de $10,000 escaneando más de 100 bibliotecas.
Eliminando el pico, el ritmo cambia drásticamente. Aproximadamente 840 hallazgos se recibieron durante las otras 29 horas. Eso está más cerca de 29 por hora que de los 166.3 que el informe publicita.
Los Puntos de Datos Alejados de las Carteras de Hardware
La descomposición por categorías trae una sorpresa. Las carteras de hardware y el firmware, al que pertenece el grupo Coldcard, ocuparon el segundo lugar más bajo por fallos graves con un 9.6%.
Otros sectores tuvieron un rendimiento peor. Los grupos de minería alcanzaron el 21.7%, la infraestructura y las herramientas el 21.5%, y los intercambios y swaps el 20.9%. Las herramientas de privacidad encabezaron la tabla con un 24%, aunque los revisores solo cubrieron tres de ellas.
Las bibliotecas de criptografía llevaron el volumen en su lugar. Produjeron 1,385 hallazgos en 128 proyectos, más de una cuarta parte del corpus.
Calle, el físico seudónimo que creó el protocolo de ecash Cashu, dijo que los mantenedores están confirmando los peores informes.
La mayoría de los informes críticos que hemos realizado hasta ahora fueron rápidamente verificados por los propietarios del proyecto. Sabemos que estamos golpeando objetivos reales”, escribieron.
Por Qué se Formó el Equipo Rojo Después de Coldcard
La barrida comenzó debido a un chip roto. Coinkite reveló el 30 de julio que la generación de semillas en los dispositivos Coldcard afectados volvió a una rutina de software predecible.
La falta fue severa. Solo 32 bits provinieron del elemento seguro, limitando la búsqueda de un atacante a aproximadamente 4.3 mil millones de conjeturas.
Galaxy Research estimó los robos confirmados en 1,596 Bitcoin (BTC) de aproximadamente 7,300 direcciones el 4 de agosto. Una cuarta ola de ataques sospechada llevaría el total a casi $130 millones. Galaxy enfatiza que su lista de direcciones no es definitiva.
El pánico se mostró en la cadena, donde las direcciones activas alcanzaron un máximo de 20 meses. Los poseedores coreanos en gran medida escaparon porque las semillas basadas en dados son comunes allí.
Sin embargo, la aleatoriedad débil sigue regresando en Bitcoin. El error Milk Sad de 2023 sembró las claves de Libbitcoin Explorer a partir de 32 bits de tiempo de reloj. En mayo, la vulnerabilidad Ill Bloom drenó $5.7 millones de billeteras construidas sobre un generador de JavaScript débil.
La financiación sigue los hallazgos
OpenSats, una organización sin fines de lucro que financia el desarrollo de Bitcoin, lanzó una pista de subvenciones Code RED el jueves. Paga a los investigadores que divulgan fallas. También reembolsa las facturas de inteligencia artificial (IA) que genera el trabajo.
Mientras tanto, Bitcoin se cotizaba cerca de $64,396 el jueves, un aumento del 0.5% en 24 horas. La auditoría no ha movido el mercado.
El contexto sigue siendo importante para el número bruto. Estos son hallazgos, no exploits confirmados, y la mayoría nunca será armada.
Sin embargo, según la evidencia hasta ahora, Coldcard no fue un fracaso aislado. Los datos también sugieren que el siguiente no será una billetera de hardware.
Fuente: BeInCrypto
