Kruchość Bitcoina obnażona przez chińskie AI. Bitcoin Red Team ostrzega przed krytycznymi lukami

Eksperci z ochotniczej grupy Bitcoin Red Team opublikowali niepokojące wnioski z audytu bezpieczeństwa niemal całego ekosystemu Bitcoina. Wykorzystując najnowszą generację chińskich modeli językowych, takich jak Kimi K3 od startupu Moonshot AI, badacze zidentyfikowali tysiące potencjalnych błędów w oprogramowaniu open-source, które stanowi fundament najpopularniejszej kryptowaluty świata. Skala problemu jest ogromna: w zaledwie 30 godzin zespół przeskanował 390 repozytoriów, odnotowując łącznie 4 962 znaleziska.

Dlaczego to ważne właśnie teraz? Raporty Bitcoin Red Team pokazują, że zachodnie narzędzia AI, jak te od OpenAI, stają się bezużyteczne dla badaczy cyberbezpieczeństwa przez restrykcyjne blokady. Zespół musiał wydać ponad 58 tysięcy dolarów na dostęp do azjatyckich modeli, by udowodnić, jak bardzo zaniedbano bezpieczeństwo kodu. To sygnał ostrzegawczy: jeśli „białi hakerzy” tracą dostęp do narzędzi analitycznych w USA, przewagę zyskują ci, którzy nie mają oporów przed korzystaniem z technologii ze Wschodu.

Calle, lider Bitcoin Red Team, opisuje sytuację jako „zderzenie dekad bałaganu w kodzie otwartym z dwoma tygodniami pracy nowoczesnego modelu AI”. Efektem tej konfrontacji jest długa lista podatności, wśród których do sierpnia 2024 roku aż 1 288 zakwalifikowano jako krytyczne lub wysokiego ryzyka. Choć zespół współpracuje bezpośrednio z deweloperami w celu usunięcia błędów przed ich publicznym ujawnieniem, diagnoza jest bezlitosna: znaczna część infrastruktury Bitcoin, od portfeli po biblioteki programistyczne, wymaga natychmiastowej naprawy.

Przewaga wschodnich modeli nad restrykcjami z Doliny Krzemowej

Interesującym aspektem tych działań jest odejście od modeli amerykańskich gigantów. Badacze przyznają, że zachodnie systemy coraz częściej nakładają blokady bezpieczeństwa, które uniemożliwiają rzetelne testy penetracyjne i analizę złośliwego kodu. Chińskie alternatywy – w tym Kimi K3, na który przypadło 75% wydatków zespołu, oraz GLM 5.2 – oferują deweloperom większą swobodę. Można je uruchamiać lokalnie, co zapewnia prywatność badanego kodu i pozwala na analizę ogromnych baz danych bez cenzury narzucanej przez korporacyjne wytyczne z USA. Rob Hamilton z zespołu przyznaje wprost, że ta sytuacja go „dobija jako patriotycznego Amerykanina”.

Szczególnie trudna sytuacja dotyczy sieci Lightning Network, służącej do szybkich i tanich płatności. Złożoność tego protokołu sprawia, że jest on wyjątkowo podatny na błędy, które umykają ludzkiemu oku, ale stają się oczywiste dla zaawansowanych algorytmów Qwen 3.8 czy Kimi. „Projekty Lightning są bardziej zepsute niż przeciętna rynkowa”, zauważa Calle, podkreślając, że tylko te zespoły, które wdrożyły automatyczne audyty AI już miesiące temu, mogą czuć się relatywnie bezpiecznie.

Lekcja dla przyszłości open-source

Atak na otwarte oprogramowanie za pomocą sztucznej inteligencji to miecz obosieczny. Z jednej strony pozwala na łatanie dziur, z drugiej – staje się potężnym narzędziem w rękach cyberprzestępców. Tempo, w jakim AI wyłapuje błędy, sprawia, że projekty niezarządzane lub porzucone przez twórców stają się tykającymi bombami zegarowymi.

Mimo dramatycznego stwierdzenia, że „Bitcoin płonie”, liderzy Red Teamu upatrują w obecnym kryzysie szansy na wzmocnienie sieci. Ich zdaniem świat kryptowalut to tylko pierwszy poligon doświadczalny, a wkrótce podobne audyty zderzą się z resztą globalnego oprogramowania. Przetrwanie w nowej rzeczywistości będzie wymagało od deweloperów stałego korzystania z narzędzi AI w procesie produkcji kodu, by móc stawić czoła zagrożeniom, zanim te zostaną wykorzystane przeciwko użytkownikom.