Un equipo de voluntarios autodenominado Bitcoin Red Team ha presentado 4.962 hallazgos de seguridad en 390 proyectos del ecosistema Bitcoin en apenas 30 horas. La operación, descrita como una «auditoría ecosistémica a gran escala», empleó agentes de inteligencia artificial para rastrear vulnerabilidades en bases de código públicas.
El desarrollador pseudónimo calle, creador del protocolo de ecash Cashu, publicó el miércoles el primer informe de situación de la campaña. Según sus datos, 85 hallazgos fueron clasificados como críticos y 635 como de alta gravedad, lo que supone un 14,5% del total y una media de 1,85 problemas serios por proyecto. La velocidad de detección alcanzó las 166 incidencias por hora.
El equipo ha crecido hasta 16 personas trabajando en turnos continuos; el reporte incluye 17 colaboradores, de los cuales 14 son humanos y tres automatizados. Aunque el 91% de los hallazgos llegó a través de escaneos automatizados, calle señaló que gran parte del trabajo sigue siendo manual, «sujetando la mano de la IA».
Diversidad de métodos y categorías más vulnerables
Dejar que cada colaborador emplee su propio método de revisión «ha demostrado ser la estrategia más efectiva», explicó calle, porque diferentes formas de interactuar con los agentes revelan errores distintos. Aproximadamente el 21% de los hallazgos ha sido reproducido de forma dinámica con código de prueba de concepto.
La distribución de severidad varía notablemente según la categoría. Las herramientas de privacidad y coinjoin arrojaron la mayor proporción de vulnerabilidades graves (24%), seguidas de swaps e intercambios (21%) y herramientas de pago y comercio (17%). Las bibliotecas criptográficas y SDKs generaron el mayor volumen bruto con 1.101 hallazgos, aunque solo el 10% alcanzó clasificación alta o crítica.
Mantenedores bajo presión
Hasta ahora, solo 19 proyectos (menos del 5% de los revisados) han recibido comunicación directa de los hallazgos. Calle reconoció que la campaña llega en un momento difícil para los mantenedores: «Sentimos sinceramente si nuestros reportes añadieron estrés a vuestro día ya estresante», escribió.
No obstante, defendió la publicación rápida con el argumento de que los propietarios de proyectos son quienes mejor pueden validar los hallazgos, que la validación ahora es casi gratuita con IA, y que cualquiera ejecutando las mismas herramientas encontrará los mismos fallos. Ocho hallazgos ya han sido descartados como falsos positivos.
El contexto de Coldcard
La iniciativa se produce mientras la IA abarata drásticamente las auditorías de seguridad cripto y las suposiciones de seguridad en Bitcoin están bajo escrutinio. La wallet Coldcard de Coinkite ocasionó pérdidas de unos 130 millones de dólares tras descubrirse que una versión de firmware de marzo de 2021 generaba semillas de wallet desde un generador de números aleatorios por software en lugar del hardware dedicado, dejando las claves privadas predecibles.
En su análisis post-mortem, la empresa señaló que era probable que «alguien usara IA para revisar versiones anteriores de nuestro firmware». Charles Guillemet, director de tecnología de Ledger, declaró a Decrypt que el incidente demostró que la IA ya se emplea para identificar vulnerabilidades en código cripto «a velocidad de máquina».
Guillemet también subrayó que «código abierto y revisado no son lo mismo», recordando que el fallo de Coldcard estuvo en código público durante más de cinco años hasta que un adversario lo detectó supuestamente con IA. La defensa, argumentó, debe operar ahora a la misma velocidad que los atacantes, algo que grupos como Bitcoin Red Team están demostrando en la práctica.
Fuente: Decrypt · Esta información ha sido elaborada por la redacción de Criptonews con apoyo de herramientas editoriales automatizadas.