Desenvolvedores voluntários registraram 4.962 descobertas de segurança em 390 projetos de Bitcoin em cerca de 30 horas. Dos 391 códigos analisados, exatamente um voltou limpo.
O grupo se chama Bitcoin Red Team. Ele classificou 720 dessas descobertas como altas ou críticas. Apenas 147 chegaram aos mantenedores que precisam corrigi-las.
Cada 1 em 7 Descobertas é Séria
A divisão de severidade é mais estreita do que o total bruto sugere. Os revisores registraram 85 problemas críticos e 635 altos.
Isso representa 14,5% de tudo o que foi registrado. O restante está em categorias média, baixa ou informativa. Outras 246 descobertas não têm rótulo de severidade algum.
A qualidade da evidência também varia. Cerca de 21,4% vieram com código de prova de conceito funcional. Aproximadamente 91% chegaram por meio de varredura automatizada. Os revisores descartaram apenas oito como falsos positivos.
Siga-nos no X para receber as últimas notícias à medida que acontecem
Uma Hora Produziu 83% das Descobertas
A estrutura de 30 horas precisa de uma ressalva. Uma única hora absorveu 4.101 descobertas. Esse pico foi um preenchimento, não uma varredura ao vivo. Rob Hamilton, diretor executivo da seguradora de Bitcoin AnchorWatch, fez sua própria revisão antes que a campanha começasse formalmente.
Ele disse que gastou mais de $10.000 escaneando mais de 100 bibliotecas.
Remova o pico, e o ritmo muda drasticamente. Aproximadamente 840 descobertas foram recebidas nas outras 29 horas. Isso está mais próximo de 29 por hora do que os 166,3 que o relatório anuncia.
Os Pontos de Dados Longe das Carteiras de Hardware
A divisão por categorias traz uma surpresa. Carteiras de hardware e firmware, ao qual o grupo Coldcard pertence, classificaram-se em segundo lugar mais baixo para falhas graves, com 9,6%.
Outros setores se saíram pior. Pools de mineração atingiram 21,7%, infraestrutura e ferramentas 21,5%, e trocas e exchanges 20,9%. Ferramentas de privacidade lideraram a tabela com 24%, embora os revisores tenham coberto apenas três delas.
Bibliotecas de criptografia carregaram o volume em vez disso. Elas produziram 1.385 descobertas em 128 projetos, mais de um quarto do corpus.
Calle, o físico pseudônimo que criou o protocolo de ecash Cashu, disse que os mantenedores estão confirmando os piores relatos.
A maioria dos relatórios críticos que fizemos até agora foi rapidamente verificada pelos proprietários dos projetos. Sabemos que estamos atingindo alvos reais,” escreveram.
Por que a Equipe Vermelha se Formou Após o Coldcard
A varredura começou por causa de um chip quebrado. A Coinkite divulgou em 30 de julho que a geração de sementes em dispositivos Coldcard afetados voltou a um routine de software previsível.
A deficiência foi severa. Apenas 32 bits vieram do elemento seguro, limitando a busca de um atacante a cerca de 4,3 bilhões de tentativas.
A Galaxy Research estimou os roubos confirmados em 1.596 Bitcoin (BTC) de aproximadamente 7.300 endereços em 4 de agosto. Uma quarta onda de ataque suspeita elevaria o total para quase $130 milhões. A Galaxy enfatiza que sua lista de endereços não é definitiva.
O pânico apareceu na cadeia, onde endereços ativos dispararam para um pico de 20 meses. Detentores coreanos em grande parte escaparam porque sementes baseadas em dados aleatórios são comuns lá.
No entanto, a aleatoriedade fraca continua a aparecer no Bitcoin. O bug Milk Sad de 2023 gerou chaves do Libbitcoin Explorer a partir de 32 bits de tempo de relógio. Em maio, a vulnerabilidade Ill Bloom drenou $5,7 milhões de carteiras construídas em um gerador JavaScript fraco.
O financiamento segue as descobertas
OpenSats, uma organização sem fins lucrativos que financia o desenvolvimento do Bitcoin, lançou uma trilha de subsídios Code RED na quinta-feira. Ela paga pesquisadores que divulgam falhas. Também reembolsa as contas de inteligência artificial (IA) que o trabalho gera.
Enquanto isso, o Bitcoin foi negociado perto de $64.396 na quinta-feira, alta de 0,5% em 24 horas. A auditoria não movimentou o mercado.
O contexto ainda importa para o número bruto. Estas são descobertas, não explorações confirmadas, e a maioria nunca será armada.
Com base nas evidências até agora, no entanto, o Coldcard não foi uma falha isolada. Os dados também sugerem que a próxima não será uma carteira de hardware.
Fonte: BeInCrypto
