AI audytuje Bitcoin: 4962 zagrożenia w 390 projektach

Sztuczna inteligencja staje się kluczowym narzędziem w walce o bezpieczeństwo projektów kryptowalutowych. Bitcoin Red Team wykazał, że zaawansowane modele AI mogą w krótkim czasie przeskanować ogromną ilość kodu i wskazać problemy, które mogłyby umknąć tradycyjnym audytom.

Skalę problemu ujawnia liczba zagrożeń

Zespół prowadzący badania nad bezpieczeństwem ekosystemu Bitcoin przeanalizował 390 projektów i zidentyfikował niemal 5 tysięcy potencjalnych luk w kodzie. Wśród nich 85 zagrożeń zakwalifikowano jako krytyczne — te mogą prowadzić do bezpośrednich strat finansowych lub utraty kontroli nad środkami. Dodatkowo 635 problemów sklasyfikowano jako wysokiej istotności, co oznacza, że stanowią poważne ryzyko dla funkcjonowania aplikacji.

Skalę pracy najlepiej ilustruje porównanie: zespół przeprowadził te analizy w ciągu zaledwie kilku miesięcy, co byłoby praktycznie niemożliwe dla zespołu audytorów pracujących ręcznie.

Kimi K3 — narzędzie, które zmienia grę

Głównym narzędziem zespołu jest model Kimi K3 opracowany przez Moonshot AI. Jego kluczową zaletą jest możliwość uruchamiania go lokalnie na własnych serwerach, co pozwala na analizę wrażliwych repozytoriów bez wysyłania kodu do zewnętrznych serwerów. Model potrafi przetwarzać rozbudowane struktury kodów źródłowych i identyfikować zagrożenia na poziomie, który wcześniej wymagał doświadczenia wielu specjalistów.

Bitcoin Red Team testował również inne modele sztucznej inteligencji — GLM 5.2 od Z.ai, rozwiązania od OpenAI oraz Anthropic. Jednak część amerykańskich modeli ma wbudowane ograniczenia, które utrudniają ich wykorzystanie w badaniach cyberbezpieczeństwa. Te ograniczenia wynikają z polityki bezpieczeństwa producenta i mogą blokować analizy podatności.

Jakie projekty zostały przebadane?

Audyty obejmowały szeroką gamę komponentów ekosystemu:

Szczególną uwagę zwrócono na oprogramowanie Lightning Network — drugiej warstwy skalowania dla Bitcoina. Wyniki wskazały na znacznie wyższą liczbę problemów w stosunku do średniej z całego badanego portfela projektów. To sugeruje, że sieć Lightning wymaga intensywnych prac nad poprawą kodu i bezpieczeństwa.

Model odpowiedzialnego ujawniania chroni ekosystem

Bitcoin Red Team nie publikuje wszystkich odkrytych zagrożeń od razu. Zespół stosuje procedurę odpowiedzialnego ujawniania podatności, co oznacza, że najpierw informuje twórców projektów o problemach, dając im czas na opracowanie łatek i aktualizacji. Dopiero po naprawie lub ustalonym terminie ujawniania informacja trafia do publiczności. To podejście zmniejsza ryzyko, że hakerzy wykorzystają luki zanim będą one naprawione.

Lider zespołu, działający pod pseudonimem „Calle”, opisuje doświadczenie w charakterystycznym tonie: „Doświadczamy potężnego zderzenia dziesięcioleci ludzkiego open-source’owego bałaganu z dwoma tygodniami Kimi K3. Wszystko jest zepsute, Bitcoin płonie” — to nie jest pesymizm, lecz realistyczne podsumowanie stanu bezpieczeństwa w kodzie otwartym.

Co to oznacza dla przyszłości

Wyniki badań wskazują na dwa ważne wnioski. Po pierwsze, ekosystem kryptowalutowy ma przed sobą znaczną pracę — ponad 700 zagrożeń wysokiej i krytycznej wagi to nie liczba, którą można zignorować. Po drugie, sztuczna inteligencja okazuje się niezastąpionym wsparciem w procesie audytu, pozwalając na szybkie skanowanie dużych ilości kodu.

Dodatkowym wyzwaniem, na które wskazują eksperci, jest perspektywa zagrożeń z komputerów kwantowych. Alex Thorn z Galaxy Digital zwraca uwagę, że postęp w technologii kwantowej może w przyszłości zagrażać bezpieczeństwu kryptografii używanej w Bitcoin. To oznacza, że praca nad bezpieczeństwem nie kończy się na wyeliminowaniu obecnych podatności — ekosystem musi przygotowywać się na zagrożenia przyszłości.

Projekty rozpoczęły intensywne audyty wspierane sztuczną inteligencją kilka miesięcy temu. Jeśli tempo odkrywania i naprawiania zagrożeń będzie się utrzymywać, ekosystem powinien stopniowo osiągać wyższy poziom bezpieczeństwa. Jednak skala problemu wskazuje, że to proces długoterminowy wymagający zaangażowania całej społeczności deweloperów.