Bitcoin (BTC) ha descubierto 85 fallos de seguridad críticos tras una auditoría asistida por inteligencia artificial que generó 4.962 hallazgos en 390 proyectos en poco más de 24 horas.
Claves del informe:
- La auditoría identificó 85 incidencias críticas y 635 de alta severidad.
- El equipo de voluntarios promedia cerca de un fallo crítico por persona y hora, con costes de cómputo en torno a 10.000 dólares diarios.
- Los desarrolladores afirman que la verificación y el envío de los reportes, y no el hallazgo en sí, se ha convertido en el principal reto a medida que la IA abarata la detección de vulnerabilidades.
Auditoría de bugs en Bitcoin
Dieciséis desarrolladores participaron en esta revisión coordinada, dirigiendo modelos de IA contra monederos, bibliotecas criptográficas y otros componentes de la infraestructura Bitcoin. El grupo registró 4.962 hallazgos en 390 proyectos, según Calle, el desarrollador seudónimo detrás del protocolo de ecash Cashu.
Calle calificó la situación de “extremadamente mala”. Los responsables de los proyectos confirmaron con rapidez la mayoría de los informes críticos, mientras que los investigadores reprodujeron pruebas de concepto funcionales en entornos locales de test antes de remitir los detalles a los mantenedores. La auditoría también detectó 635 vulnerabilidades de alta severidad, lo que incrementa aún más la carga de trabajo de los equipos voluntarios y de los operadores de los proyectos.
El ritmo es inusualmente elevado: el grupo está encontrando de media alrededor de un bug crítico por persona y hora, y gasta cerca de 10.000 dólares diarios en capacidad de cómputo.
El volumen de hallazgos ha generado cierto caos. Calle explicó que los voluntarios deben filtrar y separar los resultados válidos de la salida de baja calidad, pero el grupo está optando por publicar con rapidez porque los mantenedores pueden verificar los informes a bajo coste y existe el riesgo de que los mismos fallos sean descubiertos por atacantes.
Advertencia de seguridad de Calle
Rob Hamilton, responsable del montaje del sistema de auditoría automatizada, sostiene que encontrar vulnerabilidades ha dejado de ser el cuello de botella principal. Ahora, el mayor desafío es el enrutamiento de la información. “Lo más difícil es coordinarse para hacer llegar las cosas a las personas adecuadas”, escribió, al tiempo que describió el sistema actual como una primera versión preliminar.
Este cambio es relevante porque la IA reduce de forma drástica el tiempo y el coste necesarios para destapar vulnerabilidades antiguas en el software. Anthropic afirmó en abril que un modelo restringido localizó un fallo de 27 años de antigüedad en un software de uso generalizado, con un coste inferior a 50 dólares.
Google reportó en mayo otro caso distinto, cuando su equipo de inteligencia de amenazas detectó a un grupo criminal preparando un ataque en torno a una vulnerabilidad identificada con ayuda de un modelo de IA. Los atacantes, señalan, ya disponen de herramientas comparables.
La auditoría llega después de los robos vinculados al monedero Coldcard, que comenzaron el 30 de julio y alcanzaron hasta 114 millones de dólares cuando los atacantes explotaron un firmware defectuoso sin necesidad de acceder físicamente a los dispositivos. El bug subyacente llevaba latente desde 2021.
Lee a continuación: Las ballenas de Bitcoin recompran tras la caída a 60.000 dólares, pero el suelo del mercado sigue sin estar claro
