比特币红队曝光501个项目共计7,958个安全问题

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

比特币红队扫描501个开源项目，发现7,958个安全问题

比特币红队（Bitcoin Red Team）对501个开源比特币项目进行了扫描，共发现7,958个安全发现，其中1,280个被评定为高危或严重级别。人工智能的介入极大地加速了针对钱包、闪电网络软件及比特币基础设施的代码审查工作。

25名开发人员参与了此次协调审查，历时108小时，将人工分析与自动化工具及人工智能模型相结合。该项目主要依赖Moonshot AI的Kimi K3及其他模型，计算成本由OpenSats通过其专门的比特币红队计划资助。

这7,958项发现不应被视为7,958个独立确认的漏洞。维护者与研究人员必须复现AI生成的发现，确定是否存在可利用的路径，并在发布补丁前评估实际严重程度。

维护者验证关键发现

比特币开发者Calle表示，项目维护者已验证了审查期间产生的众多关键及高危报告。该行动从8月5日覆盖390个项目的4,962项发现，迅速增长至覆盖501个代码库的近8,000项发现。

工作加速的起因是，与Coldcard相关的比特币盗窃案金额已超过1.3亿美元，暴露了埋藏在开源固件中的弱点可能多年未被察觉，直到攻击者开始利用易受攻击的钱包种子。

Calle表示，未维护的代码库构成了一个特殊问题，因为AI能够识别可利用的弱点，但缺乏活跃的开发团队来进行调查或修补。同样的经济学原理也适用于比特币之外，Coinbase首席执行官Brian Armstrong曾提出这一风险，他认为AI将使软件安全更强，同时降低发现漏洞的成本。

BTCPay Server修补已遭利用的闪电网络漏洞

此次审查已与一起实际安全事件相交。BTCPay Server在2.4.2版本中修补了一个关键漏洞，该漏洞允许未经认证的远程攻击者获取LND管理员macaroon凭证，并可能控制连接的闪电网络钱包。

攻击者在补丁发布前利用了该漏洞，并从受影响用户处窃取了资金。BTCPay随后向Craig Raw奖励0.21 BTC，并向比特币红队奖励0.21 BTC，以表彰其负责任的披露与分析，同时引入了更严格的代码扫描和安全审查流程。

运行BTCPay Server且LND版本低于2.4.2的用户被要求立即更新并轮换受影响的凭证。

Coinbase与BitGo联合呼吁前沿AI访问权限

超过40家比特币及数字资产组织签署了“防御者需要前沿”公开信，要求主要AI实验室向合格的开源安全研究人员提供对其最强网络安全模型的有控制访问权限。

签署方包括Coinbase、Block、BitGo、Strategy、MARA、Galaxy、Trezor、Blockstream、Anchorage Digital、Brink、Chaincode Labs及OpenSats。该联盟寻求早期模型访问、足够的计算资源、安全的研究环境以及与AI实验室安全团队的直接披露渠道。

OpenSats目前运营着一个专项基金，用于报销AI计算成本，并奖励那些负责任地披露关键比特币软件漏洞的研究人员。同时，BTCPay Server 2.4.2仍是针对已遭利用的LND凭证漏洞所必需的修复版本。