Bitcoin (BTC) ha scoperto 85 falle critiche dopo che un audit assistito dall’intelligenza artificiale ha prodotto 4.962 segnalazioni su 390 progetti in poco più di 24 ore.
Punti chiave:
- L’audit ha rilevato 85 vulnerabilità critiche e 635 ad alta gravità.
- Lo sforzo coordinato dei volontari viaggia in media a circa un bug critico per persona all’ora, con costi di calcolo intorno ai 10.000 dollari al giorno.
- Gli sviluppatori spiegano che la vera difficoltà non è più scoprire le falle, ma verificarle e indirizzarle correttamente, dato che l’AI ha abbattuto il costo della ricerca di vulnerabilità.
Audit dei bug su Bitcoin
Sedici sviluppatori hanno partecipato a una revisione coordinata, indirizzando modelli di AI su wallet, librerie critografiche e altre infrastrutture chiave. Il gruppo ha registrato 4.962 segnalazioni su 390 progetti, secondo Calle, lo sviluppatore pseudonimo dietro il protocollo di ecash Cashu.
Calle ha descritto la situazione come “estremamente grave”. I responsabili dei progetti hanno confermato rapidamente la maggior parte delle segnalazioni critiche, mentre i ricercatori hanno riprodotto proof-of-concept funzionanti in ambienti di test locali prima di inviare i dettagli ai manutentori. L’audit ha inoltre individuato 635 vulnerabilità ad alta gravità, aumentando il carico di lavoro per i team di volontari e gli operatori dei progetti.
Il ritmo è insolitamente sostenuto: il gruppo sta identificando in media circa un bug critico per persona all’ora e spende all’incirca 10.000 dollari al giorno in potenza di calcolo.
Il volume delle segnalazioni sta però generando caos. Calle spiega che i volontari devono filtrare le vere vulnerabilità dal rumore prodotto dall’AI, ma il gruppo preferisce pubblicare in fretta perché i manutentori possono verificare le segnalazioni a costi contenuti, mentre esiste il rischio che gli stessi bug vengano scoperti dagli attaccanti.
Da leggere anche: Muse Code di Meta batte Anthropic e OpenAI a 1,25 dollari per milione di token in input
L’allarme di Calle sulla sicurezza
Rob Hamilton, che sta costruendo l’infrastruttura di audit automatizzato, sostiene che trovare vulnerabilità non è più il principale collo di bottiglia. Il nodo cruciale ora è il “routing”. “La parte più difficile è coordinarsi per far arrivare le informazioni alle persone giuste”, ha scritto, descrivendo l’attuale sistema come una versione ancora embrionale.
Questo cambio di paradigma è rilevante perché l’AI riduce drasticamente tempo e costi necessari per scovare vecchie debolezze nel software. Anthropic ha dichiarato ad aprile che un suo modello, in versione limitata, ha individuato un bug vecchio di 27 anni in un software ampiamente utilizzato, con un costo inferiore ai 50 dollari.
Google ha riportato a maggio un altro caso, quando il suo team di threat intelligence ha individuato un gruppo criminale che preparava un attacco sfruttando una falla scoperta con l’aiuto di un modello di AI. Strumenti analoghi sono già alla portata degli attaccanti.
L’audit arriva dopo i furti dai wallet Coldcard iniziati il 30 luglio, che hanno raggiunto fino a 114 milioni di dollari. Gli aggressori hanno sfruttato un firmware difettoso senza mai avere accesso fisico ai dispositivi. Il bug sottostante era rimasto latente dal 2021.
Prossimo articolo: Le balene Bitcoin ricostruiscono le posizioni dopo il calo a 60.000 $, ma il fondo non è ancora chiaro
