比特币红队曝光501个项目共计7,958个安全问题

红队扫描501个开源项目，发现7,958个安全问题

比特币红队（Bitcoin Red Team）对501个开源比特币项目进行了扫描，共发现7,958个安全发现，其中1,280个被评定为高危或严重级别。人工智能的介入极大地加速了针对钱包、闪电网络软件及比特币基础设施的代码审查工作。

25名开发人员参与了此次协调审查，历时108小时，将人工分析与自动化工具及人工智能模型相结合。该项目主要依赖Moonshot AI的Kimi K3及其他模型，计算成本由OpenSats通过其专门的比特币红队计划资助。

这7,958项发现不应被视为7,958个独立确认的漏洞。维护者与研究人员必须复现AI生成的发现，确定是否存在可利用的路径，并在发布补丁前评估实际严重程度。

维护者验证关键发现

比特币开发者Calle表示，项目维护者已验证了审查期间产生的众多关键及高危报告。该行动从8月5日覆盖390个项目的4,962项发现，迅速增长至覆盖501个代码库的近8,000项发现。

工作加速的起因是，与Coldcard相关的比特币**案金额已超过1.3亿美元，**了埋藏在开源固件中的弱点可能多年未被察觉，直到攻击者开始利用易受攻击的钱包种子。

Calle表示，未维护的代码库构成了一个特殊问题，因为AI能够识别可利用的弱点，但缺乏活跃的开发团队来进行调查或修补。同样的经济学原理也适用于比特币之外，Coinbase**执行官Brian Armstrong曾提出这一风险，他认为AI将使软件安全更强，同时**发现漏洞的成本。

BTCPay Server修补已遭利用的闪电网络漏洞

此次审查已与一起实际安全事件相交。BTCPay Server在2.4.2版本中修补了一个关键漏洞，该漏洞允许未经认证的远程攻击者获取LND管理员macaroon凭证，并可能控制连接的闪电网络钱包。

攻击者在补丁发布前利用了该漏洞，并从受影响用户处窃取了资金。BTCPay随后向Craig Raw奖励0.21 BTC，并向比特币红队奖励0.21 BTC，以表彰其负责任的披露与分析，同时引入了更严格的代码扫描和安全审查流程。

运行BTCPay Server且LND版本低于2.4.2的用户被要求立即更新并轮换受影响的凭证。

Coinbase与BitGo联合呼吁前沿AI访问权限

超过40家比特币及数字资产组织签署了“防御者需要前沿”**，要求主要AI实验室向合格的开源安全研究人员提供对其**网络安全模型的有控制访问权限。

签署方包括Coinbase、Block、BitGo、Strategy、MARA、Galaxy、Trezor、Blockstream、Anchorage Digital、Brink、Chaincode Labs及OpenSats。该联盟寻求早期模型访问、足够的计算资源、安全的研究环境以及与AI实验室安全团队的直接披露渠道。

OpenSats目前运营着一个专项基金，用于报销AI计算成本，并奖励那些负责任地披露关键比特币软件漏洞的研究人员。同时，BTCPay Server 2.4.2仍是针对已遭利用的LND凭证漏洞所必需的修复版本。