Um grupo de voluntários que se autodenomina Bitcoin Red Team registrou 4.962 falhas de segurança em 390 projetos de Bitcoin em aproximadamente 30 horas, executando o que descreve como uma “auditoria de ecossistema em larga escala” com agentes de inteligência artificial fazendo grande parte da varredura.
O desenvolvedor pseudônimo calle, criador do protocolo de ecash Cashu de Bitcoin, publicou o primeiro relatório de situação da campanha na quarta-feira.
Ele aponta 85 falhas de gravidade crítica e 635 de alta gravidade, totalizando 14,5% do total e uma média de 1,85 problemas sérios por projeto, registrados a uma taxa de 166 falhas por hora.
Ele afirmou que a equipe cresceu para 16 pessoas trabalhando 24 horas por dia; o relatório registra 17 colaboradores, 14 deles humanos e três automatizados.
Grande parte do trabalho ainda é manual, “orientando a inteligência artificial”, escreveu calle, embora os sistemas automatizados estejam melhorando, e 91% das falhas tenham chegado por meio de entrada de varredura automatizada.
Permitir que cada um use seu próprio método de revisão preferido “provou ser a estratégia mais eficaz”, disse ele, porque os colaboradores instruem seus agentes de forma diferente e encontram bugs distintos. Cerca de 21% das falhas foram reproduzidas dinamicamente com código de prova de conceito.
A distribuição de gravidade varia drasticamente por categoria. Ferramentas de privacidade e coinjoin apresentaram a maior proporção de falhas de alta gravidade ou críticas, com 24%, seguidas por swaps e exchanges, com 21%, e ferramentas de pagamento e para comerciantes, com 17%.
Bibliotecas criptográficas e SDKs produziram o maior volume bruto, com 1.101 falhas, mas apenas 10% atingiram o nível de alta gravidade.
Mantenedores estão sendo inundados
Apenas 19 projetos, menos de 5% dos revisados, tiveram suas falhas divulgadas aos desenvolvedores principais até agora, e calle reconheceu que a campanha está contribuindo para um momento difícil para os mantenedores.
“Lamentamos sinceramente se nossos relatórios adicionaram estresse ao seu dia já estressante”, escreveu ele, argumentando que as descobertas deveriam ser divulgadas rapidamente porque os proprietários dos projetos estão na melhor posição para validá-las, a validação agora é quase gratuita com inteligência artificial, e qualquer outra pessoa que use as mesmas ferramentas encontrará os mesmos bugs. Oito falhas foram descartadas como falsos positivos.
O cenário da Coldcard
A campanha ocorre no momento em que as premissas de segurança do Bitcoin estão sob escrutínio. A carteira Coldcard da Coinkite fez com que usuários perdessem cerca de US$ 130 milhões depois que uma compilação de firmware de março de 2021 extraiu as frases semente da carteira de um fallback de software em vez do gerador de números aleatórios de hardware do dispositivo, deixando as chaves privadas suscetíveis a adivinhação.
Em uma análise pós-incidente, a empresa observou que era provável que “alguém usou inteligência artificial para revisar versões anteriores do nosso firmware”.
Leia também: Coldcard: A falha de segurança na carteira física de Bitcoin explicada
O diretor de tecnologia da Ledger, Charles Guillemet, disse ao Decrypt na terça-feira que o incidente mostrou que a inteligência artificial estava sendo usada para identificar vulnerabilidades em código cripto “na velocidade da máquina”.
Ele acrescentou que “código aberto e revisado não são a mesma coisa”, observando que a falha da Coldcard permaneceu em código público por mais de cinco anos até que um adversário supostamente usou inteligência artificial para encontrá-la.
A defesa, ele argumentou, agora precisa se mover na mesma velocidade que os atacantes — como grupos como o Bitcoin Red Team estão demonstrando.
* Traduzido e editado com autorização do Decrypt.
Se você quer investir em criptomoedas com segurança, o Mercado Bitcoin oferece um benefício especial aos nossos leitores: use o cupom PORTAL250 no cadastro e ganhe R$ 50 de bônus em Bitcoin ao comprar R$ 250 em ativos. Clique aqui para abrir sua conta.