Bitcoin (BTC)-ontwikkelaars hebben 85 kritieke kwetsbaarheden gemeld na een AI‑gestuurde audit die binnen iets meer dan 24 uur 4.962 bevindingen opleverde in 390 verschillende projecten.
Belangrijkste punten:
- De audit bracht 85 kritieke en 635 ernstig bedreigende issues aan het licht.
- Het vrijwilligersinitiatief vindt gemiddeld ongeveer één kritieke bug per persoon per uur, met rekenkosten rond de 10.000 dollar per dag.
- Ontwikkelaars stellen dat verificatie en coördinatie, niet langer detectie, de grootste uitdaging zijn nu AI de kosten van bug‑opspeuring drastisch verlaagt.
Bitcoin‑bugaudit
Zestien ontwikkelaars sloten zich aan bij de gecoördineerde review en zetten AI‑modellen in op wallets, cryptografische bibliotheken en andere cruciale infrastructuur. De groep diende 4.962 bevindingen in over 390 projecten, aldus Calle, de pseudonieme ontwikkelaar achter het Cashu‑ecashprotocol.
Calle sprak van een “extreem slechte” situatie. Projecteigenaren bevestigden snel het merendeel van de kritieke meldingen, terwijl onderzoekers werkende proof‑of‑concepts lokaal reproduceerden voordat ze technische details doorstuurden naar de maintainers. De audit identificeerde daarnaast 635 kwetsbaarheden met een hoge ernstgraad, wat de druk verder opvoert op vrijwilligersteams en projectbeheerders.
Het tempo is uitzonderlijk hoog: de groep komt uit op gemiddeld ongeveer één kritieke bug per deelnemer per uur en besteedt circa 10.000 dollar per dag aan rekenkracht.
Het enorme volume zorgt tegelijk voor ruis. Volgens Calle moeten vrijwilligers de valide bevindingen scheiden van de ruis en middelmatige output, maar kiest de groep er bewust voor bevindingen snel te publiceren. Maintainers kunnen meldingen relatief goedkoop verifiëren, terwijl dezelfde zwakke plekken mogelijk ook door aanvallers worden ontdekt.
Lees ook: Meta's Muse Code drukt prijzen Anthropic en OpenAI tot $1,25 per miljoen inputtokens
Veiligheidswaarschuwing van Calle
Rob Hamilton, die de geautomatiseerde auditinfrastructuur ontwikkelt, stelt dat het vinden van kwetsbaarheden niet langer de voornaamste flessenhals is. Routing – het bij de juiste verantwoordelijken krijgen van bevindingen – is nu de moeilijkste opgave. “Het lastigste is om alles gecoördineerd bij de juiste mensen te krijgen,” schreef hij, waarbij hij het huidige systeem typeerde als nog maar een eerste versie.
Die verschuiving is relevant omdat AI de tijd en kosten om oude softwarezwakheden op te sporen drastisch verlaagt. Anthropic meldde in april dat een ingeperkt model een 27 jaar oude bug ontdekte in veelgebruikte software, voor minder dan 50 dollar.
Google maakte in mei een soortgelijk geval bekend, toen zijn threat‑intelligence‑team een criminele groep aantrof die een aanval voorbereidde op basis van een zwakte die met behulp van een AI‑model was geïdentificeerd. Aanvallers beschikken inmiddels over vergelijkbare tooling.
De audit volgt op de diefstallen uit Coldcard‑wallets die op 30 juli begonnen en zijn opgelopen tot naar schatting 114 miljoen dollar, nadat aanvallers fouten in de firmware uitbuitten zonder fysieke toegang tot de devices. De onderliggende bug bleek al sinds 2021 in de code te sluimeren.
Lees verder: Bitcoin‑whales bouwen posities weer op na dip onder $60.000, maar bodem blijft onzeker
