Масштабный аудит выявил тысячи уязвимостей в биткоин-проектах за сутки

Команда Bitcoin Red Team, возглавляемая разработчиком Калле (Cashu), за 27,5 часа обнаружила 4962 уязвимости в 390 проектах биткоин-экосистемы. Среди них выделено 85 критических проблем и 635 высокоопасных. Аудит охватывает код всех проектов, благодаря круглосуточной работе распределенной команды.

По словам Калле, команда выросла до 16 человек, которые разрабатывают свои методы проверки. Это позволяет разнообразно настраивать ИИ-агентов, что приводит к большому количеству успешных находок. Значительная часть проверок все еще выполняется вручную, но автоматизация делает процесс точнее.

Скорость аудита составляет 166,3 находки в час, с охватом 13,1 проекта в час. Каждый участник в среднем выявляет 2,31 критических и высокоопасных уязвимостей в час. Калле отметил, что скачок в данных связан с активностью участника по имени Роб и поддержкой спонсоров, таких как OpenSats и другие.

Большинство критических уязвимостей подтверждены владельцами проектов, а значительные результаты воспроизведены с помощью рабочих примеров. Калле подчеркнул важность быстрой передачи информации, так как владельцы проектов могут проверять находки наиболее эффективно. Вскоре такие проверки станут стандартом.

На данный момент передано только 141 сообщение, что составляет 2,9% от всех находок. Динамическое воспроизведение удалось для 21,4% уязвимостей, а 91% обнаружено через автоматические сканы. Высокую или критическую опасность имеют 14,3% находок, что соответствует одной из семи.

Наибольшее количество опасных находок связано с приватностью и микшированием (24,0%), майнингом (21,7%), инфраструктурой (21,5%). Больше всего уязвимостей нашли в криптографических библиотеках и SDK — 1385 находок в 128 проектах. Программные кошельки зарегистрировали 742 находки, а инфраструктура и инструментарий — 590.