Bitcoin (BTC) fait face à une nouvelle alerte de sécurité : les développeurs ont recensé 85 failles critiques après un audit assisté par intelligence artificielle qui a généré 4 962 signalements répartis sur 390 projets en un peu plus de 24 heures.
Points clés :
- L’audit a révélé 85 failles critiques et 635 vulnérabilités de gravité élevée.
- L’initiative bénévole tourne à près d’un bug critique par personne et par heure, pour un coût de calcul d’environ 10 000 dollars par jour.
- Selon les développeurs, la priorité n’est plus de dénicher les failles, mais de les vérifier et de les orienter vers les bons interlocuteurs, l’IA ayant fait chuter le coût de découverte.
Un audit de bugs massif sur l’écosystème Bitcoin
Seize développeurs ont coordonné cette revue de code à grande échelle, en mobilisant des modèles d’IA sur des portefeuilles, des bibliothèques cryptographiques et d’autres briques d’infrastructure. Le groupe a déposé 4 962 signalements couvrant 390 projets, selon Calle, le développeur pseudonyme à l’origine du protocole d’ecash Cashu.
Calle décrit la situation comme « extrêmement mauvaise ». Les responsables de projets ont rapidement confirmé la plupart des signalements critiques, tandis que les chercheurs reproduisaient des preuves de concept fonctionnelles dans des environnements de test locaux avant de transmettre les détails aux mainteneurs. L’audit a aussi mis au jour 635 vulnérabilités de gravité élevée, alourdissant encore la charge des équipes bénévoles et des opérateurs de projets.
Le rythme est inhabituellement soutenu : le collectif identifie en moyenne près d’un bug critique par personne et par heure, pour une facture d’environ 10 000 dollars par jour dédiée à la puissance de calcul.
Ce volume crée une certaine confusion. Calle explique que les bénévoles doivent trier les résultats pertinents des sorties de faible qualité, mais que le groupe publie rapidement ses signalements, car les mainteneurs peuvent les vérifier à faible coût et qu’il est probable que des attaquants découvrent les mêmes failles.
À lire aussi : Le code Muse de Meta sous-facture Anthropic et OpenAI à 1,25 $ le million de tokens d’entrée
L’alerte de sécurité de Calle
Rob Hamilton, qui construit l’infrastructure d’audit automatisé, estime que la découverte de vulnérabilités n’est plus le principal goulot d’étranglement. Le vrai sujet, désormais, c’est l’acheminement des informations. « Le plus difficile, c’est de coordonner l’envoi aux bonnes personnes », écrit-il, en présentant le dispositif actuel comme une simple première itération.
Ce changement est structurant : l’IA réduit fortement le temps et le coût nécessaires pour remonter d’anciennes failles logicielles. Anthropic a indiqué en avril qu’un modèle restreint avait débusqué une vulnérabilité vieille de 27 ans dans un logiciel largement utilisé, pour un coût inférieur à 50 dollars.
Google a rapporté un autre cas en mai : son équipe de renseignement sur les menaces a identifié un groupe criminel préparant une attaque autour d’une faille détectée grâce à un modèle d’IA. Les attaquants disposent déjà d’outils comparables.
Cet audit intervient dans le sillage des vols liés aux portefeuilles Coldcard, qui ont débuté le 30 juillet et atteint jusqu’à 114 millions de dollars après l’exploitation d’un firmware défectueux, sans accès physique aux dispositifs. La vulnérabilité sous-jacente était restée dormante depuis 2021.
