Il Bitcoin Red Team scopre circa 5.000 vulnerabilità in 390 progetti grazie a un audit su larga scala

Il Bitcoin Red Team ha scoperto circa 5.000 vulnerabilità grazie a un audit su larga scala

Il Bitcoin Red Team, composto da 16 ricercatori, ha implementato un metodo di audit innovativo che combina modelli di intelligenza artificiale (AI) e revisioni manuali, rivelando la scoperta di 5.000 vulnerabilità.

In un breve periodo di circa 30 ore, sono stati esaminati 390 progetti open source, estraendo 4.962 potenziali vulnerabilità. Tra queste, ci sono 720 problemi gravi, inclusi 85 "critici", con un tasso straordinario di 2,31 aree ad alto rischio identificate per ogni ricercatore all'ora.

Tuttavia, questa rapida analisi automatizzata ha scosso il settore. Attualmente, la percentuale di riproduzione confermata è solo del 21,4%, e non si possono evitare rapporti imprecisi o falsi positivi. I manutentori open source sono attualmente sopraffatti dal compito arduo di esaminare e verificare il gran numero di rapporti ricevuti e applicare le patch necessarie.

Un clima di allerta nell'ecosistema innescato dall'incidente Coldcard

Il contesto di questo audit estremamente ampio è legato a un grave difetto di casualità nell'algoritmo di generazione dei seed del portafoglio hardware Coldcard.

Una serie di attacchi derivanti da questo problema ha portato alla fuoriuscita di oltre 1.816 BTC, equivalenti a circa 116 milioni di dollari (circa 18,36 miliardi di yen), da più di 5.200 indirizzi. Considerando i potenziali danni, si teme che la cifra possa raggiungere un massimo di 2.055 BTC, generando una forte sensazione di crisi in tutto il settore.

Sebbene il produttore Coinkite abbia distribuito un firmware di correzione, per garantire la sicurezza dei fondi generati con seed vecchi è necessaria la migrazione a nuovi seed e il trasferimento di tutti gli asset. Dopo questa amara lezione, il Red Team ha ricevuto oltre 40.000 dollari (circa 633.000 yen) di finanziamenti dalla non profit OpenSats e sta lavorando per rendere open source gli strumenti di verifica, mirando a costruire un sistema di difesa multifocale che includa non solo il codice principale, ma anche le dipendenze e le impostazioni di build.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.