比特币红队在Kimi K3扫描后发现7,958个问题

By: rootdata|2026/08/14 04:53:15

比特币红队已将其AI辅助安全审查扩展到501个与比特币相关的开源项目，在108小时的工作后记录了7,958个发现。

摘要

比特币红队扫描了501个项目，并在108小时的审查后记录了7,958个发现。
研究人员将1,280个发现分类为高风险或关键，但许多仍需人类验证。
大约24.7%的发现有可重复的证据，而29.4%已上报给项目维护者。
Kimi K3成为该活动的主要AI工作马，研究人员对比特币开源软件进行了广泛测试。
BTCPay Server在比特币红队和独立研究人员最近报告安全漏洞后发布了修复。

参与该工作的匿名比特币开发者Calle在8月13日表示，团队现在已完成几乎整个比特币开源生态系统的基本扫描，而许多容易发现的漏洞表面已经被检查过。

这些头条数字需要一个重要的区分。7,958个发现并不代表7,958个确认的可利用漏洞。团队将1,280个分类为高风险或关键，而24.7%的所有发现已被动态重现，29.4%在108小时的标记时已上报。维护者审查和人类重现仍然是验证过程的一部分。

Kimi K3已成为安全力量的倍增器
Calle表示，与Moonshot AI的Kimi K3合作的两周工作显示了现代模型如何快速检查多年积累的开源代码。他将这种情况描述为“旧软件与前沿AI之间的巨大碰撞”，并补充道：“一切都坏了，比特币正在燃烧。”这句话是他的表述，不应被解读为比特币核心或每个比特币项目受到损害的证据。

独立测试支持了Kimi K3具有重要网络安全能力的更窄观点。英国AI安全研究所和美国CAISI的联合评估发现，该模型在漏洞开发测试中优于GLM-5.2，但仍落后于最强的美国封闭模型。Kimi K3在ExploitBench上得分32%，在该测试中41个样本中没有一个达到任意代码执行。

比特币红队之前的扫描发现390个比特币项目中有4,962个潜在问题，包括720个当时被分类为高风险或关键。新的统计数据显示，审查在第一波之后显著扩大。

维护者已经在验证和修补发现
该活动已超越自动扫描。BTCPay Server的官方GitHub发布将比特币红队研究人员Bruno Garcia和Ben Carman列为报告已被利用的关键漏洞的功臣。版本2.4.2修复了影响Greenfield基本身份验证的双因素身份验证绕过。

BTCPay后来确认，攻击者已从受影响的安装中获取LND管理员macaroon凭证，并利用这些凭证访问连接的闪电钱包。该项目表示正在处理来自比特币红队、Project Loupe、Magic Grants和独立研究人员的额外报告，同时加强其扫描和审查流程。

在8月14日，BTCPay宣布了另一个以安全为重点的发布候选版本v2.4.3-rc4，解决了这些团体报告的漏洞。在相关报道中，BTCPay支持者在早期漏洞后支持了一项恢复奖金，基金会承诺向比特币红队基金捐赠0.21 BTC。

这些修复提供了具体证据，表明维护者正在验证至少一些严重的红队报告。它们并未验证7,958个发现数据集中每一项。AI辅助审计可能产生假阳性、重复报告和在人工调查后改变的严重性评估，使得验证在解读数字时至关重要。

比特币项目面临更快的安全周期
Calle认为，未维护的项目现在应更加谨慎对待，因为AI显著降低了发现和测试弱点的成本。他还表示，响应时间正成为项目健康的有用指标，维护者将越来越需要自己的持续AI审计管道，而不是偶尔的外部审查。这些是Calle从该活动得出的结论，而不是普遍的安全规则。

更广泛的生态系统已经朝着这个方向发展。OpenSats创建了一条快速跟进的红队资助途径，部分集中在报销研究人员的LLM成本上。超过40个比特币和数字资产组织还要求领先的AI实验室为经过审查的开源防御者提供对前沿模型的受控访问。

正如crypto.news报道的，行业联盟警告比特币开发者如果没有访问先进的AI模型，可能会落后于攻击者。该请求并不寻求无限制的访问。它建议经过审查的研究人员、安全环境、足够的计算能力和与AI安全团队的直接沟通渠道。

下一阶段可能会比最初的扫描慢得多。自动发现可以快速扩展，而重现、负责任的披露、补丁开发和回归测试需要更多时间。接收报告的项目必须确定哪些发现是可利用的，用户需要更新的紧迫性以及何时可以安全地公开技术细节。

对于比特币用户来说，收获比最大数字所暗示的要狭窄。红队报告了大量潜在的比特币相关软件的弱点，而不是比特币基础共识协议失败的证据。当前的安全关注点集中在钱包、闪电基础设施、支付软件和携带旧或轻度审查代码的库上。