بيتكوين (BTC) تشهد واحدة من أوسع المراجعات الأمنية في تاريخها، بعد أن كشف تدقيق مدعوم بالذكاء الاصطناعي عن 4,962 ثغرة في 390 مشروعاً خلال ما يزيد قليلاً على 24 ساعة، بينها 85 ثغرة مصنفة كـ«حرجة».
أبرز النتائج:
- رصد 85 ثغرة حرجة و635 ثغرة عالية الخطورة.
- الجهد التطوعي يحقق متوسطاً يقارب ثغرة حرجة واحدة لكل مشارك في الساعة، مع كلفة حوسبة تقترب من 10,000 دولار يومياً.
- المطورون يؤكدون أن التحدي الرئيسي انتقل من الاكتشاف إلى التحقق والتنسيق، مع انخفاض كلفة العثور على العيوب بفضل الذكاء الاصطناعي.
تدقيق ثغرات بيتكوين
شارك 16 مطوراً في هذه الحملة المنسقة، موجّهين نماذج ذكاء اصطناعي نحو محافظ بيتكوين، ومكتبات التشفير، ومكونات البنية التحتية الأخرى. المجموعة قدّمت 4,962 بلاغ ثغرة عبر 390 مشروعاً، بحسب ما ذكر كالي، المطوّر المجهول الاسم وراء بروتوكول النقود الإلكترونية كاشو (Cashu)، في منشور على منصة إكس (X).
كالي وصف الوضع بأنه «سيئ للغاية». مالكو المشاريع سارعوا لتأكيد معظم البلاغات الحرجة، بينما قام الباحثون بإعادة إنتاج أدلة اختراق عملية في بيئات اختبار محلية قبل إرسال التفاصيل إلى القائمين على الصيانة. التدقيق حدّد أيضاً 635 ثغرة عالية الخطورة، ما زاد الضغط على فرق المتطوعين ومشغلي المشاريع.
وتيرة الاكتشاف تعد استثنائية، إذ تسجل المجموعة في المتوسط ثغرة حرجة واحدة تقريباً لكل شخص في الساعة، مع إنفاق يقارب 10,000 دولار يومياً على القدرة الحاسوبية اللازمة للتدقيق.
هذا الحجم من المخرجات خلق قدراً من الإرباك. كالي أوضح أن على المتطوعين فرز النتائج الصحيحة عن المخرجات منخفضة الجودة، إلا أن المجموعة تميل إلى النشر السريع لأن تكلفة تحقق القائمين على المشاريع من البلاغات منخفضة، ولأن المهاجمين قد يعثرون على الثغرات نفسها في الوقت ذاته.
اطلع أيضاً على: نظام كود ميوز من ميتا يخفض تكلفة برمجة الذكاء الاصطناعي إلى 1.25 دولار لكل مليون رمز إدخال
تحذير أمني من كالي
روب هاميلتون، المسؤول عن بناء منظومة التدقيق الآلي، يرى أن اكتشاف الثغرات لم يعد عنق الزجاجة الرئيسي. المشكلة انتقلت إلى «التوجيه» وتوصيل المعلومات الصحيحة إلى الأطراف الصحيحة في الوقت المناسب. وكتب موضحاً: «أصعب جزء هو تنسيق توصيل الأشياء إلى الأشخاص المناسبين»، في إشارة إلى أن البنية الحالية للتدقيق لا تزال نسخة أولية.
هذا التحول مهم، لأن الذكاء الاصطناعي خفّض بشكل حاد الوقت والتكلفة اللازمين لاكتشاف ثغرات قديمة في البرمجيات. شركة أنثروبيك (Anthropic) كشفت في أبريل أن نموذجاً مقيداً تمكّن من العثور على ثغرة عمرها 27 عاماً في برمجيات واسعة الاستخدام، بكلفة لم تتجاوز 50 دولاراً.
غوغل بدورها أفادت في مايو عن حالة منفصلة، حيث تمكن فريق استخبارات التهديدات لديها من رصد مجموعة إجرامية تستعد لهجوم يستند إلى ثغرة اكتُشفت بواسطة نموذج ذكاء اصطناعي. الأدوات المتاحة للمهاجمين باتت اليوم مماثلة لما لدى المدافعين تقريباً.
يأتي هذا التدقيق في أعقاب حوادث سرقة محافظ Coldcard التي بدأت في 30 يوليو، ووصلت خسائرها إلى نحو 114 مليون دولار بعد استغلال المهاجمين لبرمجيات ثابتة تالفة في الأجهزة من دون الحاجة إلى الوصول الفيزيائي إليها. الثغرة الأساسية ظلت كامنة منذ عام 2021 قبل أن يجري استغلالها على هذا النطاق.
للمتابعة: حيتان بيتكوين تعيد بناء حيازاتها بعد هبوط 60 ألف دولار وسط غموض بشأن القاع
