比特幣紅隊審計在501個專案中揪出7,958個漏洞

比特幣紅隊對501個開源專案進行的AI輔助安全掃描，記錄了7,958個潛在漏洞，其中1,280個被評為高風險或嚴重等級。

比特幣紅隊在經過108小時的AI輔助審查後，在501個開源專案中記錄了7,958個潛在安全問題，其中1,280個發現被歸類為高風險或嚴重等級。

「一切都是壞的，比特幣正在燃燒，」化名為Calle、主導這項工作的比特幣開發者在8月13日於X平台上表示，描述了多年累積的開源程式碼與前沿AI模型之間的碰撞。

該團隊動態重現了所有發現中的24.7%，並在108小時的時間點向專案維護者回報了29.4%的上游問題。Moonshot AI的Kimi K3作為主要掃描模型，在英國AI安全研究所與美國CAISI的聯合評估中，於ExploitBench上獲得32%的分數。

這些漏洞集中在錢包、閃電網路基礎設施和支付軟體中，而非比特幣的底層共識協議。BTCPay Server已在v2.4.2版本中修補了一個嚴重的雙重驗證繞過漏洞——此前攻擊者利用該漏洞存取已連接的閃電網路錢包——並於8月14日發布了v2.4.3-rc4版本以處理其他通報。

Kimi K3成為此次行動的主力工具

此次審計是從先前一次發現390個專案中4,962個潛在問題（其中720個被評為高風險或嚴重）的掃描擴展而來。最新的數字反映出在7月30日Coldcard韌體漏洞事件之後，審查範圍已大幅擴大——該漏洞因種子生成熵不足，竊取了超過一億美元的比特幣。

AnchorWatch執行長Rob Hamilton表示，他在已負責任地揭露某個程式碼庫之後，因整合了OpenAI的受信任網路安全計劃而被阻止進行進一步分析。Hamilton在X平台上寫道：「作為一個愛國的美國人，這讓我心如刀割，但我將重新使用中國的開源模型來進行研究，以保護比特幣基礎設施。」

Bull Bitcoin創辦人Francis Pouliot詳細描述了中國開源模型如何在他審計的專案中識別出一個竊取資金的漏洞，在regtest上進行了示範，並協助修補。當他要求他所付費的美國模型審查相同的修補程式時，它們拒絕了。

維護者面臨更快速的安全週期

Calle主張，對於缺乏維護的專案應更加謹慎，因為AI已大幅降低了發現和測試弱點的成本。他也表示，回應時間正成為衡量專案健康狀況的有用指標，且維護者將日益需要自己持續運行的AI審計管道。

OpenSats已建立一條快速通道的紅隊補助路線，部分重點在於報銷研究人員的LLM成本。超過70個組織於8月10日簽署了比特幣政策研究所的公開信，呼籲前沿AI實驗室為合格的開源防禦者建立受信任的存取計劃。

Galaxy全公司研究主管Alex Thorn簽署了這封信。「美國人不應該必須依賴中國AI來保護自己、他們的專案、公司或客戶免受網路攻擊，」他在X平台上寫道。

下一階段可能會比最初的掃描進展得更慢。自動化發現可以快速擴展，但重現、負責任的揭露、修補程式開發和回歸測試則需要更多時間。對於比特幣使用者而言，當前的安全隱憂集中在錢包、閃電網路基礎設施、支付軟體以及承載著較舊或審查較少的程式碼的函式庫上。

本文僅供資訊參考之用，不構成投資建議。