Майже 5000 потенційних вразливостей за добу: результати масштабного аудиту біткоїн-екосистеми

Команда Bitcoin Red Team, що спеціалізується на аудиті безпеки біткоїн-проєктів, заявила про виявлення 4962 потенційних вразливостей у межах масштабної перевірки екосистеми. Аналіз охопив 390 проєктів, а знайдені проблеми варіюються від високого до критичного рівня небезпеки.

За словами представників команди, наразі Bitcoin Red Team складається із 16 спеціалістів, які працюють у різних часових поясах і забезпечують аудит у режимі 24/7. Під час перевірок вони поєднують ручний аналіз програмного коду з інструментами на базі штучного інтелекту.

За добу команда виявила десятки критичних вразливостей

За даними Bitcoin Red Team, за 27,5 години роботи було підготовлено 4962 звіти про потенційні вразливості. Із них:

• 85 отримали критичний рівень небезпеки;
• 635 були класифіковані як вразливості високого рівня.

У команді зазначили, що середній показник ефективності становив 2,31 критичної або високорівневої знахідки на одного учасника за годину.

Фахівці також наголосили, що хоча значна частина аудиту досі виконується вручну за підтримки штучного інтелекту, автоматизовані інструменти тестування поступово демонструють дедалі кращі результати.

Крім того, використання різних моделей штучного інтелекту та індивідуальних підходів до створення промптів дозволяє команді знаходити ширший спектр потенційних проблем у програмному коді.

Більшість критичних проблем уже підтвердили розробники

У Bitcoin Red Team повідомили, що вже взаємодіють із командами проєктів, у яких були виявлені потенційні вразливості. За словами дослідників, більшість критичних знахідок уже підтверджені самими розробниками.

Перед передачею інформації про найнебезпечніші проблеми команда проводить додаткову перевірку. Для цього фахівці створюють тестові сценарії та відтворюють вразливість на власному обладнанні в ізольованому середовищі, щоб переконатися в її достовірності.

Водночас у Bitcoin Red Team визнали, що масштабна кампанія з перевірки безпеки стала додатковим навантаженням для команд розробників.

“Ми перепрошуємо, якщо наші звіти додали стресу до вашого і без того напруженого дня. Але вважаємо важливим повідомляти про такі знахідки якомога швидше, оскільки власники проєктів найкраще можуть їх перевірити, а інші дослідники невдовзі можуть знайти ті самі проблеми”, — заявили в Bitcoin Red Team.

У команді додали, що продовжують вдосконалювати процес перевірки знайдених вразливостей та працюють над скороченням кількості хибних або нерелевантних звітів.