发现数十个关键漏洞，Bitcoin Red Team已扫描150个代码库
相关推荐
发现大量严重及高危漏洞，Bitcoin Red Team完成比特币开源生态基础扫描
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示，经过两周使用前沿 AI 扫描几乎整个比特币开源生态的漏洞，Bitcoin Red Team 成员@callebtc 表示，“容易发现的漏洞已经处理完毕”，维护者正在验证“大量”严重及高危漏洞。 @callebtc 表示，主要发现包括：数十年积累的开源技术债务，正与能够以人类研究人员无法达到的速度和规模发现漏洞的 AI 能力同时暴露；Lightning 似乎尤其容易受到影响，其复杂性意味着其安全状况“比平均水平更差”；在得到证实安全之前，未维护的比特币项目或应被视为存在漏洞。 数月前就开始构建 AI 安全和审计流程的项目，与那些等待至今的项目相比，目前处于完全不同的位置。 Bitcoin Red Team 现已完成对几乎整个比特币开源生态的基础扫描。容易发现的漏洞已基本处理完毕，但随着 AI 能力提升，外部红队测试可能需要无限期持续。 尽管发现并报告了“大量”真实的严重及高危漏洞，@callebtc 认为这一过程最终将使比特币更加强大。同样的 AI 安全审查很快也将扩展至远超比特币的领域。
Bitcoin Red Team已扫描约150个比特币代码库，发现十余个漏洞
Odaily星球日报讯 Bitcoin Red Team 志愿安全倡议已扫描约 150 个比特币代码库，并披露十余个漏洞。团队正开发开源 AI 平台，用于审计比特币软件，覆盖钱包、加密库、基础设施及其他项目。 AnchorWatch CEO Rob Hamilton 表示，团队目前已在不同 AI 服务上支出约 2 万美元，并使用 Kimi K3、OpenAI 的 GPT Sol、Anthropic 的 Claude Fable 和 Opus，以及 Z.ai 的 GLM 5.2 识别漏洞并生成相关文档。 化名比特币开发者 Calle 表示，团队过去 12 小时已向多个项目报告严重漏洞，平均每人每小时发现约一个严重漏洞，每日支出约 1 万美元。团队未披露受影响项目及漏洞细节。
Bitcoin Red Team在29.8小时内审计390个项目，发现近5000个潜在问题
Odaily星球日报讯 由 16 名志愿者组成的比特币安全组织 Bitcoin Red Team 表示，其在对比特币生态项目进行快速 AI 辅助审查期间，发现近 5000 个潜在问题。该组织成员包括 AnchorWatch CEO Rob Hamilton 和比特币开发者 Calle 等。 Calle 表示，Bitcoin Red Team 使用 AI 工具与人工复核，扫描与比特币相关的开源代码库漏洞，平均每人每小时发现约 1 个关键漏洞。 Calle 披露，在启动后 29.8 小时内，团队已在 390 个项目中发现 4962 个潜在问题，其中多达 720 个被视为高危或关键级问题，目前 21.4%的发现已可复现。该安全审查行动启动于 Coldcard 硬件钱包漏洞事件后数日，该事件中被盗比特币价值超过 1 亿美元。
Bitcoin Red Team，391 个比特币代码库共发现近 5000 项安全问题，仅 1 个代码库零漏洞
火星财经消息，由比特币开发者和安全研究员组成的志愿安全审计团队 Bitcoin Red Team 公布最新审计结果称，在约 30 小时内对 391 个比特币相关代码库进行审查，共发现 4962 项安全问题，其中 720 项被评定为高危或严重漏洞，仅 1 个代码库未发现任何问题。目前仅 147 项漏洞已提交至项目维护者处理。Bitcoin Red Team 是由比特币开发者和安全研究员组成的志愿安全审计团队，于 Coldcard 硬件钱包漏洞事件后发起，主要负责人包括 Cashu 协议开发者 Calle 等。
Bitcoin Core开发者称已复现COLDCARD MK3漏洞，MK2/MK3设备或受影响
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示，Bitcoin Core 开发者 instagibbs 称，他在一台新初始化的 COLDCARD MK3 设备上，仅使用设置过程中按钮按下次数，成功复现了已报告的 COLDCARD 漏洞，并表示“抱歉，现在是恐慌的时候”。 他认为该问题影响 MK2/MK3 设备，但表示目前尚无法确认 MK4 是否存在漏洞。 开发者 Antoine Poinsot 表示，关键区别在于 MK4 使用硬件随机数生成器为种子提供熵，并实际使用微控制器的真随机数生成器 TRNG，而 MK3 没有这样做。 该概念验证和助记词验证仍在审查中。
153个被盗地址含132.95枚BTC，研究人员仍无法重现Coldcard攻击者种子
Odaily星球日报讯 据 Bitcoin News 监测，@PraveenPerera 发布的新研究显示，Coldcard 攻击者似乎先识别出存在漏洞的地址，再按照地址持有比特币数量排序，并从持仓量最高的地址开始分批转移。实际使用的转移软件则较为粗糙。一个地址拥有 225 个可花费 UTXO，攻击者恰好提取了最新的 200 个，留下最早的 25 个，其中包括一个价值 0.16 枚 BTC 的 UTXO。这与研究人员调查的一款区块链 API 默认返回 200 条记录的限制完全一致，表明攻击者可能未能加载下一页数据。该软件甚至花费了一个 294 聪的 UTXO，据报道使交易手续费增加约 2040 聪，花费金额明显高于该 UTXO 本身价值。研究作者据此认为，该工具的构建者对账户余额系统的理解可能强于对比特币 UTXO 模型的理解。尽管攻击者似乎已经获取受害者的完整种子，但至少 75 枚 BTC 仍留在由相同种子派生的其他地址中。目前最大的疑点是，153 个被盗地址中仍有 132.95 枚 BTC，研究人员仍无法复现这些地址背后的种子，因此不排除攻击者获取了未公开的私有设备数据或候选数据。