بيتكوين (BTC) تشهد واحدة من أوسع المراجعات الأمنية في تاريخها، بعدما كشف تدقيق مدعوم بالذكاء الاصطناعي عن 4,962 ثغرة في 390 مشروعاً خلال ما يزيد قليلاً على 24 ساعة، بينها 85 ثغرة مصنَّفة كـ«حرجة» أبلغ عنها المطوّرون بشكل رسمي.
أبرز النتائج
- رصد 85 ثغرة حرجة و635 ثغرة عالية الخطورة.
- الجهد التطوعي يحقق متوسط اكتشاف يقارب ثغرة حرجة لكل مساهم في الساعة، مع كلفة حوسبة تقارب 10,000 دولار يومياً.
- المطوّرون يؤكدون أن التحدي بات يكمن في التحقق والتنسيق لا في الاكتشاف، بعد أن خفّض الذكاء الاصطناعي كلفة العثور على العيوب.
حملة تدقيق واسعة على مشاريع بيتكوين
ستة عشر مطوّراً شاركوا في مراجعة منسَّقة، وجّهوا خلالها نماذج ذكاء اصطناعي إلى فحص المحافظ، ومكتبات التشفير، وبنى تحتية أخرى في منظومة بيتكوين. وأسفرت الحملة عن تسجيل 4,962 ملاحظة أمان في 390 مشروعاً، بحسب المطوّر المعروف باسم المستعار Calle، صاحب بروتوكول النقد الإلكتروني Cashu.
Calle وصف الوضع بأنه «سيئ للغاية». مالكو المشاريع سارعوا إلى تأكيد معظم التقارير الحرجة، فيما قام باحثون بإعادة إنتاج «إثباتات مفهوم» عاملة في بيئات اختبار محلية قبل تمرير التفاصيل إلى فرق الصيانة. التدقيق كشف أيضاً عن 635 ثغرة عالية الخطورة، ما زاد الضغط على الفرق التطوعية والمسؤولين عن المشاريع.
وتيرة الاكتشاف تُعد استثنائية؛ إذ سجّل الفريق متوسطاً يناهز ثغرة حرجة لكل شخص في الساعة، مع إنفاق يقترب من 10,000 دولار يومياً على قدرات الحوسبة اللازمة لتشغيل النماذج.
حجم النتائج خلق بدوره حالة ارتباك. Calle أوضح أن على المتطوعين فرز النتائج الفعلية عن المخرجات منخفضة الجودة، لكن الفريق يفضّل النشر السريع للتقارير، إذ يمكن لفرق الصيانة التحقق منها بتكلفة زهيدة، بينما قد يسارع مهاجمون إلى اكتشاف الثغرات نفسها.
اطلع أيضاً على: كود Muse من ميتا يخفض كلفة برمجة Anthropic وOpenAI إلى 1.25 دولار لكل مليون رمز إدخال
تحذير أمني من Calle وتحول في طبيعة المخاطر
روب هاميلتون، الذي يتولّى بناء منظومة التدقيق الآلي، يرى أن اكتشاف الثغرات لم يعد عنق الزجاجة. التحدي الأكبر الآن هو «التوجيه»، أي إيصال المعلومة إلى الجهة الصحيحة في الوقت المناسب. وكتب موضحاً أن «أصعب جزء هو التنسيق لإيصال التقارير إلى الأشخاص المناسبين»، واصفاً المنظومة الحالية بأنها لا تزال «نسخة أولية».
أهمية هذا التحول تنبع من حقيقة أن الذكاء الاصطناعي خفّض بشكل حاد الوقت والتكلفة اللازمين لكشف ثغرات قديمة في البرمجيات. شركة Anthropic قالت في أبريل إن نموذجاً مقيد الصلاحيات اكتشف ثغرة عمرها 27 عاماً في برمجيات واسعة الاستخدام، بتكلفة لم تتجاوز 50 دولاراً.
من جانبها، غوغل أعلنت في مايو عن حالة منفصلة، إذ تمكّن فريق استخبار التهديدات لديها من رصد مجموعة إجرامية تستعد لتنفيذ هجوم يستند إلى ثغرة تم تحديدها عبر نموذج ذكاء اصطناعي. وتشير الشركة إلى أن المهاجمين يمتلكون بالفعل أدوات مماثلة من ناحية القدرات.
حملة التدقيق الحالية تأتي في أعقاب حوادث سرقة محافظ Coldcard التي بدأت في 30 يوليو، وبلغت قيمتها نحو 114 مليون دولار، بعد أن استغل مهاجمون خللاً في البرمجيات الثابتة (firmware) دون الحاجة للوصول الفيزيائي إلى الأجهزة. الثغرة الكامنة تعود إلى عام 2021، لكنها بقيت غير مستغَلة حتى الآونة الأخيرة.
المقال التالي: حيتان بيتكوين تعيد بناء حيازاتها بعد هبوط 60 ألف دولار، لكن القاع لا يزال غير محسوم
