AI wykrywa luki w Bitcoinie co godzinę — co oznacza dla bezpieczeństwa?

Sztuczna inteligencja staje się kluczowym narzędziem w testowaniu bezpieczeństwa ekosystemu Bitcoina, ale jednocześnie zwiększa zagrożenie ze strony potencjalnych napastników.

Jak wygląda przeszukiwanie kodu Bitcoina przez AI?

Projekt Bitcoin Red Team, kierowany przez Roba Hamiltona z AnchorWatch, to inicjatywa polegająca na systematycznym przeszukiwaniu kodu projektów związanych z Bitcoinem w poszukiwaniu błędów bezpieczeństwa. Zespół zaangażował się w prace nad platformą, którą finansuje z dotychczasowych 20 000 USD wydanych na usługi AI. Hamiltona wspiera deweloper znany pseudonimem Calle, który odpowiada za opracowanie zaawansowanych systemów analitycznych.

Metodologia projektu polega na użyciu kilku zaawansowanych modeli AI jednocześnie. Zespół korzysta z modelu Kimi K3, GPT Sol od OpenAI, modeli Claude Fable i Opus od Anthropic oraz GLM 5.2 od Z.ai. Narzędzia te służą zarówno do identyfikowania podatności, jak i do przygotowywania dokumentacji. Hamilton wskazał, że zespół nawiązał kontakt z OpenAI w celu wdrożenia dodatkowego narzędzia Cyber Harness, które przeprowadza bardziej zaawansowane skanowanie, ale wiąże się z wyższymi kosztami operacyjnymi.

Jakie rezultaty uzyskał zespół w pierwszych dniach?

Wyniki pracy są imponujące pod względem skali, choć niepokojące z perspektywy bezpieczeństwa. W ciągu pierwszych 29,8 godzin działania zespół przeanalizował kod 390 projektów i zidentyfikował 4962 potencjalne problemy. Spośród nich 720 przypadków zaklasyfikowano jako zagrożenia o wysokim lub krytycznym poziomie ważności. Do tego momentu zespół zdołał potwierdzić i odtworzyć 21,4% z wykrytych anomalii.

Deweloper Calle ujawnił, że w ciągu pierwszych 12 godzin zespół zgłosił poważne podatności kilkunastu projektom. Operacja kosztuje około 10 000 USD dziennie, co podkreśla skalę zaangażowanych zasobów obliczeniowych i czasu pracy specjalistów. Calle nie ujawnił, które konkretne projekty były przedmiotem analizy ani szczegółów dotyczących samych luk — jest to standardowa praktyka w cyberbezpieczeństwie, aby dać zespołom czas na wdrożenie poprawek zanim informacje zostaną upublicznione.

Metrika	Wartość
Okres obserwacji	29,8 godziny
Liczba przeanalizowanych projektów	390
Wykryte potencjalne problemy	4962
Zagrożenia wysokiego/krytycznego poziomu	720
Potwierdzony odsetek anomalii	21,4%
Dzienny koszt operacyjny	~10 000 USD
Całkowity wydatek na usługi AI	20 000 USD

Czy sztuczna inteligencja to zagrożenie czy ochrona?

Projekt Bitcoin Red Team demonstruje, że AI może być potężnym narzędziem do wzmacniania bezpieczeństwa. Jednocześnie pokazuje, że ta sama technologia stanowi zagrożenie w rękach osób o złych intencjach.

Historia z 2024 roku pokazuje to wyraźnie. Badacze korzystający z modelu Claude Opus 4.8 firmy Anthropic odkryli czteroletnią lukę w kodzie Zcash, która mogła umożliwić atakującym generowanie nieograniczonej liczby fałszywych tokenów ZEC. W tym samym roku firma Coinkite poinformowała, że hakerzy wykorzystali AI do identyfikacji podatności w portfelu sprzętowym Coldcard. Jeszcze bardziej alarmujący był przypadek mostka Bitcoin Boltz, który wstrzymał usługę wymiany po tym, jak napastnicy wykorzystali AI do wykrywania luk w szybszym tempie, niż zespół mógł je naprawiać.

Te incydenty wskazują na asymetrię: podczas gdy projekt Red Team pracuje nad ochroną ekosystemu, hakerzy mogą równolegle wykorzystywać te same narzędzia do ataku. Różnica polega na tym, że zespół Hamiltona i Calle ujawnia podatności odpowiedzialnie, dając projektom czas na naprawę, podczas gdy napastnicy działają w ukryciu.

Co to oznacza dla bezpieczeństwa Bitcoina?

Dla użytkowników i deweloperów w ekosystemie Bitcoin wyniki projektu Red Team mają dwojakie znaczenie. Z jednej strony, masowe odkrywanie luk przez AI daje szansę na proaktywne naprawianie błędów zanim zostaną wykorzystane w atakach. Z drugiej strony, tempo odkrywania podatności (około jednej krytycznej na godzinę pracy jednego analityka) pokazuje, że ręczne przeglądy kodu mogą być niewystarczające.

Projekt Red Team nie ujawnił, które konkretne projekty w ekosystemie Bitcoin były badane, ani nie podał szczegółów technicznych luk. To standardowe podejście, ale oznacza, że użytkownicy nie mogą dokładnie ocenić, czy ich ulubione portfele lub biblioteki kryptograficzne zostały przeskanowane. Deweloper Calle zaznaczył, że przedsięwzięcie jest „bardzo kosztowne”, co sugeruje, że tego rodzaju kompleksowe audyty AI mogą być dostępne tylko dla dobrze finansowanych projektów.

Sytuacja wskazuje na rosnącą konieczność integracji AI w procesach bezpieczeństwa każdego projektu związanego z kryptowalutami — nie jako opcjonalnego dodatku, ale jako standardowego elementu cyklu rozwojowego. Jednocześnie podkreśla znaczenie odpowiedzialnego ujawniania podatności i współpracy między zespołami bezpieczeństwa a deweloperami.