Nell’arco di poco più di un giorno, sedici sviluppatori sparsi per il mondo hanno messo a nudo quasi cinquemila potenziali falle nell’infrastruttura software che sostiene Bitcoin. Il progetto, battezzato Bitcoin Red Team, ha condotto quello che si può definire il più ampio audit sicurezza Bitcoin mai realizzato sull’ecosistema open source, sfruttando agenti di intelligenza artificiale per scandagliare centinaia di codebase in tempi impossibili per una revisione umana tradizionale.
Summary
Punti chiave
- Il team ha registrato 4.962 segnalazioni di sicurezza su 390 progetti Bitcoin in circa 30 ore di lavoro continuo.
- Tra le falle individuate, 85 sono classificate come critiche e 635 come alte, pari al 14,5% del totale.
- Il 91% delle segnalazioni è arrivato tramite scansioni automatizzate, mentre solo 19 progetti hanno già ricevuto la comunicazione ufficiale delle vulnerabilità.
- L’iniziativa arriva dopo il caso Coldcard, che nel 2021 ha causato una perdita da 130 milioni di dollari per un difetto firmware.
Un audit senza precedenti guidato dall’intelligenza artificiale
Il Bitcoin Red Team ha filtrato quasi 5.000 problemi in appena 27,5 ore, un ritmo di lavoro che il gruppo stesso definisce un “audit di sicurezza su larga scala” dell’intero ecosistema. A guidare la comunicazione è stato calle, sviluppatore pseudonimo noto come creatore del protocollo ecash Cashu, che mercoledì ha pubblicato il primo rapporto sullo stato dei lavori.
Ambito e portata dell’operazione
I numeri raccontano una scansione capillare: 390 progetti passati al setaccio, con una media di 1,85 problemi seri per progetto e un ritmo di 166 segnalazioni all’ora. Secondo quanto riportato, l’iniziativa sarebbe nata come risposta diretta alle vulnerabilità scoperte nel wallet hardware Coldcard, uno dei dispositivi di cold storage più diffusi nella cultura dell’autocustodia Bitcoin. Il finanziamento è arrivato da OpenSats, organizzazione non profit che sostiene lo sviluppo open source di Bitcoin, con un contributo di quasi 40.000 dollari.
Chi compone il team e come lavora
Il gruppo è cresciuto fino a contare 16 persone distribuite globalmente più tre agenti automatizzati, per un totale di 17 contributori attivi 24 ore su 24. Gran parte del lavoro resta manuale, come ha scritto calle stesso, descrivendo il processo come un continuo “accompagnare l’AI per mano” nella verifica dei risultati. Ogni collaboratore utilizza il proprio metodo preferito per interrogare gli agenti, una scelta che secondo il team si è rivelata la strategia più efficace: prompt diversi producono bug diversi, ampliando la copertura complessiva della ricerca.
Gravità e distribuzione delle vulnerabilità
Non tutte le falle pesano allo stesso modo, e la mappa delle criticità disegna un quadro utile per capire dove concentrare l’attenzione. Su 4.962 segnalazioni totali, 85 sono state classificate come critiche e 635 come alte, insieme il 14,5% del corpus complessivo.
Dove si concentrano i problemi più seri
La distribuzione della gravità varia sensibilmente per categoria di progetto. Gli strumenti legati a privacy e coinjoin hanno registrato la quota più alta di segnalazioni gravi, con il 24% classificato come alto o critico, seguiti da piattaforme di scambio e swap al 21% e da strumenti di pagamento e commercio al 17%. Le librerie criptografiche e gli SDK hanno invece prodotto il volume grezzo più alto, con 1.101 segnalazioni, ma solo il 10% di queste ha raggiunto la soglia di gravità alta.
Questo divario tra volume e severità conta perché mostra come non sia sufficiente contare il numero di bug trovati: la vera domanda per gli utenti e i manutentori riguarda quanti di quei bug possano davvero compromettere fondi o chiavi private. Gli strumenti di privacy, pur generando meno segnalazioni in termini assoluti, risultano proporzionalmente più esposti a rischi seri, un dato che dovrebbe interessare chi utilizza coinjoin e wallet orientati all’anonimato.
La pressione sui manutentori e il dilemma della divulgazione
Rendere pubblici migliaia di bug in tempi rapidi comporta un costo umano che il team non nasconde. Al momento solo 19 progetti, meno del 5% di quelli esaminati, hanno ricevuto la comunicazione formale delle vulnerabilità riscontrate.
Calle ha ammesso apertamente che la campagna sta aggiungendo pressione a un momento già difficile per gli sviluppatori open source: “Siamo sinceramente spiacenti se i nostri report hanno aggiunto stress a una giornata già stressante”, ha scritto, pur difendendo la scelta di divulgare rapidamente i risultati. La logica, secondo il developer, è che i responsabili dei progetti sono nella posizione migliore per validare le segnalazioni, che oggi la verifica è quasi gratuita grazie all’AI, e che chiunque altro utilizzi gli stessi strumenti arriverebbe comunque agli stessi bug. Otto segnalazioni sono già state ritirate perché considerate falsi positivi.
Qui si gioca una parte importante della posta in palio per l’intero settore: se il modello dell’audit sicurezza Bitcoin guidato da AI si rivelerà sostenibile, potrebbe diventare uno standard replicabile anche altrove nel mondo crypto, ma solo se i team di manutenzione riusciranno ad assorbire il carico di verifiche senza esaurirsi. Il gruppo avrebbe intenzione di rendere open source gli strumenti utilizzati, un passo che potrebbe abbassare ulteriormente la soglia di ingresso per audit simili su altre blockchain.
Il precedente Coldcard che ha acceso i riflettori
Non è un caso che questa mobilitazione arrivi proprio ora. Il wallet Coldcard, prodotto da Coinkite, aveva già messo in allerta l’ecosistema dopo che una build firmware di marzo 2021 pescava i seed dei wallet da un fallback software invece che dal generatore di numeri casuali hardware del dispositivo, rendendo le chiavi private potenzialmente indovinabili. L’incidente aveva causato agli utenti una perdita stimata in 130 milioni di dollari. Nel post-mortem pubblicato dall’azienda, era emerso il sospetto che qualcuno avesse già utilizzato l’AI per revisionare le versioni precedenti del firmware, un dettaglio che oggi assume un peso ancora maggiore alla luce dell’audit corale del Bitcoin Red Team.
Vale la pena ricordare che le vulnerabilità individuate non riguardano il protocollo di base di Bitcoin, ma l’ecosistema di applicazioni e strumenti che gli utenti utilizzano per interagire con la rete. I costi della correzione ricadranno però su manutentori spesso volontari o su team con risorse limitate, il vero punto debole di un’infrastruttura che finora si è retta soprattutto sulla buona volontà della comunità open source.
FAQ
Qual è stata la portata dell’audit di sicurezza condotto dal Bitcoin Red Team?
L’audit ha coperto 390 progetti legati a Bitcoin e ha portato alla registrazione di 4.962 segnalazioni di sicurezza in circa 30 ore, grazie a scansioni assistite da intelligenza artificiale.
Quanto erano gravi le vulnerabilità individuate dal Bitcoin Red Team?
Sono stati rilevati 85 problemi critici e 635 ad alta gravità, che insieme rappresentano il 14,5% del totale delle segnalazioni.
Quali tipologie di progetti presentavano le vulnerabilità più serie?
I progetti legati a privacy e coinjoin hanno registrato la quota più alta di segnalazioni gravi, pari al 24% del totale delle loro falle.
Perché l’audit sta creando ulteriore stress ai manutentori dei progetti?
Perché le segnalazioni vengono divulgate rapidamente per garantire una validazione veloce, aggiungendo carico di lavoro a sviluppatori già sotto pressione in un momento delicato per l’ecosistema.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
