Equipe Vermelha do Bitcoin Encontra 85 Falhas Críticas em 390 Repositórios de Código Aberto Após Exploração do Coldcard
Bitcoin Magazine
Equipe Vermelha do Bitcoin Encontra 85 Falhas Críticas em 390 Repositórios de Código Aberto Após Exploração do Coldcard
Impulsionada pela recente e catastrófica vulnerabilidade nas carteiras de hardware Coldcard, explorada em mais de $100 milhões, a comunidade Bitcoin se uniu para prevenir futuros bugs críticos no software de código aberto da indústria.
AVISO: Qualquer usuário de carteiras Coldcard que não tenha migrado seu bitcoin para novas sementes geradas em firmware seguro ainda está em risco. Pode não ser tarde demais para agir; veja o aviso sobre o assunto.
Liderada por Calle, engenheiro de software, codificador entusiasta e criador da versão Android do Bitchat, e Rob Hamilton, CEO da Anchorwatch, uma empresa de seguro de autocustódia de Bitcoin, a Equipe Vermelha do Bitcoin agora garantiu financiamento, com mais de $40.000 gastos em tokens de IA para auditar mais de 390 repositórios de Código Aberto em todo o Bitcoin.
Coloquialmente chamada de “Equipe Vermelha do Bitcoin”, com memes sobre Rob Hamilton e Calle agora sendo o CEO e CTO do Bitcoin, esta auditoria de segurança impulsionada por IA está tendo um impacto sério em toda a indústria. Apenas alguns dias atrás, enterrada nas notícias de roubos contínuos de bitcoin de Coldcards MK3+ devido a um bug de RNG, a exchange Boltz anunciou que pausaria as operações para se recuperar de tentativas de hacking impulsionadas por IA.
“27,5 horas depois, registramos 4.962 descobertas em 390 projetos. 85 problemas críticos e 635 de alta gravidade. Estamos com 2,31 descobertas h+c por pessoa por hora”, disse Calle na atualização mais recente sobre os esforços da Equipe Vermelha para fortalecer a cibersegurança da indústria.
O esforço de revisão de segurança da Equipe Vermelha está utilizando modelos como Kimi K3, GPT Sol, Fable, Opus e GLM5.2, alguns dos modelos mais caros e avançados do mercado. No início, o acesso aos modelos da OpenAI e da Anthropic era limitado, levando a uma dependência excessiva de modelos de código aberto chineses, um fato que muitos na indústria lamentaram e viram como um mau presságio para a dominância da IA nos EUA. Mas à medida que o projeto da Equipe Vermelha cresceu em influência desde o hack do Coldcard na semana passada, conexões foram estabelecidas e confirmadas com a OpenAI, dando à Equipe Vermelha acesso ao GPT Sol. A menção de Hamilton ao Fable em seu tweet de 4 de agosto sugere que o acesso à Anthropic também foi estabelecido.
As despesas, que foram contabilizadas em mais de $40.000, foram cobertas pela OpenSats, uma organização sem fins lucrativos 501c3 dedicada a financiar projetos de desenvolvimento de Bitcoin de código aberto. A Equipe Vermelha do Bitcoin atualmente não possui um site ou um repositório no GitHub para vincular, mas a equipe é composta por muitos indivíduos dentro da indústria do Bitcoin. Indivíduos publicamente agradecidos por seu apoio incluem, mas não se limitam a, danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.
Hamilton compartilhou que um arnês personalizado foi construído e está evoluindo rapidamente. Composto em um determinado momento por 171.599 linhas de código, o arnês é projetado para identificar e testar bibliotecas de software Bitcoin críticas e código de alta carga, identificar e documentar vulnerabilidades, reproduzi-las e empacotar os dados comprovados em relatórios úteis. Por fim, entregando as informações de forma responsável aos engenheiros da indústria. Hamilton também compartilhou que a Red Team pretende tornar o arnês de código aberto para que as empresas de Bitcoin possam executá-lo contra seu código fechado.
A Red Team está ativamente entrando em contato com projetos de código aberto relevantes com vulnerabilidades críticas descobertas, levando a um amplo sentimento de apreensão entre os engenheiros da indústria quando recebem mensagens diretas frias de Hamilton ou Calle, como visto em várias capturas de tela humorísticas compartilhadas nas redes sociais.
Entre os principais insights compartilhados publicamente pela Red Team enquanto essa atualização de segurança impulsionada por IA do Bitcoin FOSS ocorre, Hamilton compartilhou que engenheiros com conhecimento específico poderiam, às vezes, gerar resultados de alto valor a partir do Arnês, que de outra forma poderia "sentir que algo está errado", mas poderia estar perdendo o contexto de nicho. Um insight que fala sobre a importância de ter inteligência e experiência humanas trabalhando em conjunto com a IA para identificar eficientemente vulnerabilidades críticas.
Hamilton também encerrou um esforço da Equipe Vermelha de vários dias após o hack do Coldcard com algumas notas pessoais. Ele disse que a vulnerabilidade descoberta nos geradores de números aleatórios do Coldcard e a consequente exploração do bug por hackers foi um “ataque espiritual” ao Bitcoin e ao ethos de autocustódia da indústria, “quero dizer isso no sentido literal das palavras”. Após expressar tristeza pelas perdas sofridas por muitos Bitcoiners durante esse hack agora histórico, Hamilton fechou seu tweet com um tom de resolução firme:
“Embora as coisas não estejam fáceis agora. Eu tenho a maior convicção da minha vida de que a ideia e a tecnologia do Bitcoin valem a pena lutar. Para esse fim. Não há Bitcoin sem autocustódia. Isso é inegociável.”
Este post A Equipe Vermelha do Bitcoin Encontra 85 Falhas Críticas em 390 Repos de Código Aberto Após o Exploit do Coldcard apareceu pela primeira vez na Bitcoin Magazine e é escrito por Juan Galt.
Fonte: BitcoinMagazine