Bitcoin Red Team обнаружила тысячи уязвимостей в биткоин-проектах

5 августа команда добровольцев Bitcoin Red Team сообщила о выявлении 4962 потенциальных проблем безопасности в 390 проектах, связанных с биткоином. Из этих уязвимостей 85 были классифицированы как критические, а 635 — как высоко рискованные.

На протяжении первых 29,8 часов анализа, участникам удалось подтвердить только 21,4% обнаруженных проблем. Остальные находки пока не могут считаться полностью подтвержденными уязвимостями. Этот аудит безопасности был запущен после серии атак на аппаратные кошельки Coldcard, ущерб от которых превысил $100 млн.

В команде Bitcoin Red Team работают 16 специалистов, среди которых разработчик Cashu под именем Calle и CEO AnchorWatch Роб Хэмилтон. Они используют комбинацию ИИ-моделей и ручной проверки, создавая инструменты для анализа кода и выявления потенциально опасных участков.

Методология red teaming предполагает не только поиск ошибок, но и проверку их возможности к компрометации. Calle отметил, что команда находит в среднем один критический эксплойт в час на человека, но не раскрыл методику подсчета.

В экосистеме сейчас царит хаос, и многие разработчики перегружены отчетами о безопасности. Несмотря на это, большинство критических находок быстро подтверждаются владельцами проектов, что свидетельствует о реальной угрозе.

Список затронутых проектов не был раскрыт, но критические отчеты сначала пытаются воспроизвести в виде работающего примера атаки и затем передают разработчикам. Кампания началась на фоне уязвимости в кошельках Coldcard, от которой пострадали как минимум 15 злоумышленников с потенциальными потерями до $130 млн.

Ошибка в Coldcard появилась из-за изменений в прошивке 2021 года, что привело к снижению энтропии сид-фраз. Coinkite выпустила обновления для прошивок, однако владельцам кошельков рекомендовали генерировать новые фразы на исправленных устройствах.

По словам Хэмилтона, основным вызовом для команды является не столько поиск уязвимостей, сколько передача отчетов соответствующим разработчикам. Они обработали более 150 репозиториев, но координация остается сложной задачей.