Frivillige udviklere indsendte 4.962 sikkerhedsfund på tværs af 390 Bitcoin-projekter på cirka 30 timer. Af de 391 kodebaser de gennemgik, var præcis én fri for fejl.
Gruppen kalder sig Bitcoin Red Team. De vurderede 720 af fundene som alvorlige eller kritiske. Kun 147 er nået videre til dem, der skal udbedre fejlene.
Hvert syvende fund er alvorligt
Fordelingen af alvorligheden er mindre skæv end det samlede tal antyder. Gennemgangen viste 85 kritiske problemer og 635 høje.
Det svarer til 14,5 % af alle rapporterede fund. Resten befinder sig i kategorierne mellem, lav eller information. Hele 246 fund har slet ingen alvorlighedsmærkning.
Kvaliteten af beviser svinger også. Omkring 21,4 % inkluderede funktionsdygtig proof-of-concept kode. Cirka 91 % blev fundet via automatiske scanninger. Gennemgangen afviste kun otte som falske positiver.
Følg os på X for de seneste nyheder, så snart de udkommer
En time gav 83 % af fundene
Historien om de 30 timer kræver en forklaring. 4.101 fund kom på én time. Det var et “backfill” – ikke live scanning. Rob Hamilton, direktør for Bitcoin-forsikringsselskabet AnchorWatch, lavede sin egen gennemgang før kampagnen officielt startede.
Over $10.000 brugte han på scanning af mere end 100 biblioteker, udtalte han.
Trækker man det ud, ændrer tempoet sig markant. Cirka 840 fund blev modtaget over de resterende 29 timer. Det svarer til omkring 29 i timen, langt fra de 166,3 rapporten nævner.
Tallene peger væk fra hardware wallets
Fordelingen på kategorier byder på en overraskelse. Hardware wallets og firmware, hvor Coldcard hører til, klarede sig næstbedst med kun 9,6 % alvorlige fejl.
Andre områder klarede sig dårligere. Mining pools ramte 21,7 %, infrastruktur og værktøjer kom op på 21,5 %, og swaps og børser var på 20,9 %. Privatlivsværktøjer kom øverst med 24 %, men der blev kun testet tre af slagsen.
Krypto-biblioteker stod dog for det meste. De gav 1.385 fund på 128 projekter – over en fjerdedel af alt indsendt materiale.
Calle, den pseudonyme fysiker bag Cashu ecash-protokollen, skrev, at vedligeholdere bekræfter de værste rapporter.
De fleste kritiske indberetninger vi har lavet, er hurtigt blevet bekræftet af projekternes ejere. Vi ved, vi rammer reelle mål,” skrev de.
Derfor opstod Red Team efter Coldcard
Projektet begyndte på grund af en defekt chip. Coinkite offentliggjorde den 30. juli, at seed-generering på ramte Coldcard-enheder faldt tilbage til en forudsigelig software-rutine.
Problemet var alvorligt. Kun 32 bit kom fra det sikrede element, hvilket begrænser en hackers søgning til cirka 4,3 milliarder gæt.
Galaxy Research vurderede bekræftede tyverier til 1.596 Bitcoin (BTC) fra omkring 7.300 adresser den 4. august. En mistænkt fjerde angrebsbølge ville bringe det samlede tab op på næsten 130 millioner dollars. Galaxy understreger dog, at listen over adresser ikke er endelig.
Panikken viste sig on-chain, hvor aktive adresser steg til det højeste niveau i 20 måneder. Koreanske ejere gik for det meste fri, fordi frø genereret med terninger er almindelige der.
Svag tilfældighed bliver ved med at dukke op i Bitcoin. 2023 Milk Sad-bug’en lavede Libbitcoin Explorer-nøgler ud fra 32-bit klokkeslæt. I maj Ill Bloom-sårbarheden tømte $5,7 millioner fra wallets bygget på en svag JavaScript-generator.
Finansiering følger fundene
OpenSats, en nonprofit fond der støtter Bitcoin-udvikling, iværksatte i torsdags et Code RED-legatspor. Pengene gives til forskere, der indrapporterer fejl – og refunderer desuden regninger for kunstig intelligens (AI), som arbejdet koster.
I mellemtiden handlede Bitcoin tæt på $64.396 torsdag, op 0,5% over 24 timer. Revisionen har ikke påvirket markedet.
Det er stadig vigtigt at huske på sammenhængen for det rå tal. Det er observationer, ikke bekræftede angreb, og de fleste vil aldrig blive taget i brug.
De hidtidige beviser tyder dog på, at Coldcard ikke var en enkeltstående fejl. Dataene indikerer også, at den næste sag ikke bliver en hardware wallet.
