Bitcoin (BTC) è finito sotto la lente di un audit massivo assistito dall’intelligenza artificiale: in poco più di 24 ore gli sviluppatori hanno segnalato 85 falle critiche, emerse da un totale di 4.962 potenziali vulnerabilità rilevate su 390 progetti.
Punti chiave:
- L’audit ha individuato 85 vulnerabilità critiche e 635 problemi ad alta gravità.
- Lo sforzo dei volontari viaggia al ritmo di circa un bug critico all’ora per persona, con costi di calcolo attorno ai 10.000 dollari al giorno.
- Secondo gli sviluppatori, la sfida principale non è più trovare le falle, ma verificarle e instradarle ai team giusti, man mano che l’AI abbassa i costi di scoperta.
L’audit sui bug di Bitcoin
Sedici sviluppatori hanno partecipato alla revisione coordinata, utilizzando modelli di AI per scandagliare wallet, librerie critografiche e altre componenti di infrastruttura. Il gruppo ha prodotto 4.962 segnalazioni su 390 progetti, secondo Calle, lo sviluppatore pseudonimo che guida il protocollo ecash Cashu.
Calle ha definito la situazione “estremamente grave”. I maintainer dei progetti hanno confermato rapidamente la maggior parte delle segnalazioni critiche, mentre i ricercatori hanno riprodotto proof-of-concept funzionanti in ambienti di test locali prima di inviare i dettagli ai responsabili. L’audit ha inoltre individuato 635 vulnerabilità ad alta gravità, aumentando il carico di lavoro per i team di volontari e gli operatori dei progetti.
Il ritmo è insolitamente elevato: il gruppo segnala in media circa un bug critico per persona ogni ora, con una spesa giornaliera di circa 10.000 dollari in potenza di calcolo.
Il volume delle segnalazioni però genera caos. Calle spiega che i volontari devono distinguere con cura tra risultati validi e rumore di bassa qualità, ma il gruppo preferisce pubblicare rapidamente: per i maintainer verificare costa poco, mentre gli attaccanti potrebbero scoprire nel frattempo le stesse falle.
Da leggere anche: Muse Code di Meta batte Anthropic e OpenAI a 1,25 dollari per milione di token in input
L’allarme di Calle sulla sicurezza
Rob Hamilton, che sta costruendo l’infrastruttura per l’audit automatizzato, sostiene che trovare vulnerabilità non sia più il vero collo di bottiglia. Il punto critico ora è il routing. “La parte più difficile è coordinare e far arrivare le informazioni alle persone giuste”, ha scritto, descrivendo l’attuale sistema come una semplice versione iniziale.
Questo cambiamento è rilevante perché l’AI riduce drasticamente tempo e costi necessari per riesumare vecchie debolezze software. Anthropic ha dichiarato ad aprile che un suo modello limitato ha individuato una falla di 27 anni in un software ampiamente utilizzato, con una spesa inferiore ai 50 dollari.
Google ha riportato un altro caso a maggio: il suo team di threat intelligence ha scoperto un gruppo criminale che preparava un attacco a partire da una vulnerabilità individuata tramite un modello di AI. Gli attaccanti dispongono ormai di strumenti comparabili.
L’audit arriva sulla scia dei furti legati ai wallet Coldcard, iniziati il 30 luglio e arrivati fino a circa 114 milioni di dollari, dopo che gli attaccanti hanno sfruttato un firmware difettoso senza avere accesso fisico ai dispositivi. Il bug sottostante era rimasto latente dal 2021.
Prossimo articolo: Le balene Bitcoin ricostruiscono le posizioni dopo il calo a 60.000 dollari, ma il bottom resta incerto
