ในเวลาเพียงกว่าวัน กลุ่มอาสาสมัครนักพัฒนาและผู้ช่วย AI ที่รวมตัวกันอย่างหลวมๆ ได้ทำสิ่งที่ไม่มีบริษัท Bitcoin หรือทีมพัฒนาทีมใดทีมหนึ่งสามารถทำได้ด้วยตัวเอง: พวกเขากวาดดูโปรเจกต์ Bitcoin แบบโอเพนซอร์ส หลายร้อยโปรเจกต์ และ ติดธงเกือบ 5,000 รายการ ว่าอาจเป็นปัญหาด้านความปลอดภัย ความพยายามนี้ซึ่งดำเนินการภายใต้ชื่อ Bitcoin Red Team ได้กลายเป็นหนึ่งในแคมเปญ ตรวจสอบความปลอดภัย Bitcoin ที่กว้างขวางที่สุดที่ระบบนิเวศเคยเห็น และกำลังบังคับให้เกิดการสนทนาที่ไม่สบายใจเกี่ยวกับระดับความเสี่ยงที่แท้จริงของเครื่องมือที่ผู้คนใช้เก็บและโอน bitcoin อยู่ทุกวัน
Summary
ประเด็นสำคัญ
- Bitcoin Red Team ยื่นรายงาน ข้อค้นพบด้านความปลอดภัย 4,962 รายการ ครอบคลุม โปรเจกต์ Bitcoin 390 โปรเจกต์ ภายในเวลาประมาณ 30 ชั่วโมง โดยบางรายงานระบุช่วงเวลาที่ 27.5 ชั่วโมง
- จากข้อค้นพบทั้งหมด 85 รายการถูกจัดระดับว่าวิกฤต และ 635 รายการมีความรุนแรงสูง รวมกันคิดเป็น 14.5% ของทั้งหมด
- ทีมประกอบด้วย บุคคล 16 คนจากทั่วโลก บวกกับเอเจนต์อัตโนมัติอีกสามตัว โดย 91% ของข้อค้นพบถูกค้นเจอผ่านการสแกนอัตโนมัติ
- เครื่องมือด้านความเป็นส่วนตัวและ coinjoin มีสัดส่วนปัญหาร้ายแรงสูงสุดที่ 24% ขณะที่ไลบรารีคริปโตกราฟีสร้างข้อค้นพบดิบมากที่สุด (1,101 รายการ) แต่มีอัตราปัญหาระดับรุนแรงสูงเพียง 10%
- จนถึงตอนนี้มีเพียง 19 โปรเจกต์ เท่านั้นที่มีการรายงานข้อค้นพบกลับไปยังผู้ดูแลโค้ดต้นน้ำ
เจาะลึกการตรวจสอบความปลอดภัยครั้งใหญ่ของ Bitcoin Red Team
นี่คือสปรินต์ที่ขับเคลื่อนโดยอาสาสมัครซึ่งใช้โมเดล AI ชี้ไปยังฐานโค้ด Bitcoin หลายร้อยชุดพร้อมกัน สิ่งที่การรีวิวโค้ดด้วยมือไม่อาจทำซ้ำได้ด้วยความเร็วระดับนี้ โปรโตคอล ecash ของ Bitcoin ที่ชื่อ Cashu ถูกพัฒนาโดยผู้สร้างนามแฝง calle ซึ่งเป็นผู้ปล่อยอัปเดตสถานะเริ่มต้นของแคมเปญ โดยอธิบายว่าเป็น “การตรวจสอบความปลอดภัยระบบนิเวศขนาดใหญ่” ครอบคลุมฐานโค้ด Bitcoin
ขอบเขตและสเกลในเวลาไม่ถึง 30 ชั่วโมง
ตัวเลขดิบๆ นั้นยากจะมองข้าม ทีมงานบันทึกข้อค้นพบ 4,962 รายการใน 390 โปรเจกต์ภายในเวลาประมาณ 30 ชั่วโมง ตามอัปเดตของ calle เอง แม้ CoinDesk และ Crypto Briefing จะระบุช่วงเวลาทำงานที่ 27.5 ชั่วโมง ความเร็วระดับนี้เท่ากับมีการยื่นข้อค้นพบระหว่าง 166 ถึง 180 รายการต่อชั่วโมง ขึ้นอยู่กับตัวเลขที่ใช้ Crypto Briefing รายงานว่าสปรินต์นี้ได้รับการสนับสนุนด้วยเงินทุน เกือบ 40,000 ดอลลาร์ จาก OpenSats องค์กรไม่แสวงหากำไรที่สนับสนุนการพัฒนา Bitcoin แบบโอเพนซอร์ส ขณะที่ CoinDesk ระบุว่าต้นทุนคอมพิวต์อยู่ที่เกือบ 10,000 ดอลลาร์ต่อวันเพื่อให้โมเดล AI ทำงานตลอด 24 ชั่วโมง
ใครอยู่เบื้องหลังการตรวจสอบ — และพวกเขาทำงานอย่างไร
Calle ระบุว่าทีมเติบโตเป็น 16 คนจากทั่วโลกที่ทำงานเป็นกะ แม้ว่ารายงานสถานการณ์จะบันทึกผู้มีส่วนร่วม 17 คน โดย 14 คนเป็นมนุษย์และอีกสามเป็นระบบอัตโนมัติ การรับข้อมูลอัตโนมัติคิดเป็น 91% ของข้อค้นพบทั้งหมด แต่ calle รีบชี้ให้เห็นว่ามนุษย์ยังคง “จับมือพา AI” อยู่เบื้องหลังอย่างมาก แทนที่จะมาตรฐานวิธีรีวิวแบบเดียว กลุ่มนี้ปล่อยให้ผู้มีส่วนร่วมแต่ละคนตั้งพรอมต์ให้เอเจนต์ของตนเองตามที่ต้องการ ซึ่ง calle ให้เหตุผลว่า “พิสูจน์แล้วว่าเป็นกลยุทธ์ที่มีประสิทธิภาพที่สุด” เพราะคนต่างกันและพรอมต์ต่างกันมักจะเจอบั๊กคนละแบบ ประมาณ 21% ของข้อค้นพบได้รับการทำซ้ำแบบไดนามิกแล้วด้วยโค้ดต้นแบบที่ใช้งานได้จริง ทำให้ข้ออ้างมีน้ำหนักมากกว่าการเป็นเพียงธงเตือนเชิงทฤษฎี
การแบ่งระดับความรุนแรง: ความเสี่ยงจริงอยู่ตรงไหน
ไม่ใช่ทุกประเด็นที่ถูกติดธงจะเป็นไฟไหม้ระดับห้าระฆัง และการแบ่งระดับความรุนแรงของการตรวจสอบครั้งนี้ก็ทำให้เห็นความแตกต่างนั้นชัดเจน จากข้อค้นพบเกือบ 5,000 รายการ มีเพียงส่วนเล็กๆ เท่านั้นที่เข้าข่ายอันตรายจริง ขณะที่ส่วนใหญ่จัดอยู่ในกลุ่มความสำคัญต่ำกว่า
ข้อค้นพบระดับวิกฤตและรุนแรงสูงในเชิงตัวเลข
จากข้อค้นพบทั้งหมด 85 รายการถูกจัดเป็นระดับวิกฤต และ 635 รายการเป็นระดับรุนแรงสูง รวมกันคิดเป็น 14.5% ของชุดข้อมูลทั้งหมด หรือเฉลี่ยประมาณ 1.85 ประเด็นร้ายแรงต่อหนึ่งโปรเจกต์ที่ถูกรีวิว CoinDesk สรุปความเร็วอย่างตรงไปตรงมา โดยระบุว่ากลุ่มนี้ค้นพบช่องโหว่วิกฤตเฉลี่ยเกือบหนึ่งรายการต่อคนต่อชั่วโมง มีข้อค้นพบแปดรายการที่ถูกยกเลิกไปแล้วว่าเป็นผลบวกลวง เป็นเครื่องเตือนใจว่าไม่ใช่ทุกธงอัตโนมัติจะผ่านการตรวจสอบอย่างละเอียด
หมวดโปรเจกต์ Bitcoin ใดที่เสี่ยงมากที่สุด
ความรุนแรงไม่ได้กระจายตัวอย่างเท่าเทียมในระบบนิเวศ เครื่องมือด้านความเป็นส่วนตัวและ coinjoin มีสัดส่วนข้อค้นพบระดับสูงหรือวิกฤตมากที่สุดที่ 24% นำหน้ากลุ่มเอ็กซ์เชนจ์และการสวอปที่คิดเป็น 21% ของกิจกรรม ขณะที่โซลูชันร้านค้าและโครงสร้างพื้นฐานการชำระเงินคิดเป็น 17% SDK และไลบรารีคริปโตกราฟีเล่าเรื่องอีกแบบ: พวกมันสร้างปริมาณข้อค้นพบดิบมากที่สุดที่ 1,101 รายการ แต่มีเพียง 10% เท่านั้นที่ผ่านเกณฑ์ความรุนแรงสูง กล่าวอีกนัยหนึ่ง ซอฟต์แวร์ที่เน้นความเป็นส่วนตัวอาจมีบั๊กน้อยกว่าโดยรวม แต่สัดส่วนของบั๊กที่พบในหมวดนี้มักจะมีความสำคัญมากกว่า
การเปิดเผยภายใต้แรงกดดัน: จริยธรรมของการเคลื่อนที่อย่างรวดเร็ว
การเปิดเผยอย่างรวดเร็วมีจุดประสงค์เพื่อปกป้องผู้ใช้ แต่ก็สร้างแรงกดดันให้กับผู้ดูแลที่ต้องรับผิดชอบในการแก้บั๊กด้วย จนถึงตอนนี้มีเพียง 19 โปรเจกต์ คิดเป็นไม่ถึง 5% ของทั้งหมดที่ถูกรีวิว ที่มีการรายงานข้อค้นพบกลับไปยังต้นน้ำ ช่องว่างระหว่างจำนวนข้อค้นพบที่ยื่นกับจำนวนที่ถูกเปิดเผยนี่เองคือจุดที่ความตึงเครียดใหญ่ที่สุดของแคมเปญนี้อยู่
Calle ยอมรับผลกระทบนี้อย่างตรงไปตรงมา “เราขออภัยอย่างจริงใจหากรายงานของเราเพิ่มความเครียดให้กับวันที่ตึงเครียดของคุณอยู่แล้ว” เขาเขียนไว้ ขณะปกป้องความเร็วของการเปิดเผย เหตุผลของเขาคือ เจ้าของโปรเจกต์อยู่ในตำแหน่งที่ดีที่สุดในการยืนยันข้อค้นพบของตนเอง AI ทำให้การยืนยันนั้นแทบไม่มีต้นทุน และไม่ว่าอย่างไร ใครก็ตามที่ใช้เครื่องมือคล้ายกันก็จะสะดุดเจอบั๊กเดียวกันในที่สุด Crypto Briefing รายงานว่ากลุ่มนี้ได้สแกนรีโพซิทอรีไปแล้วราว 150 แห่งก่อนสปรินต์ครั้งนี้ ส่งผลให้มีการเปิดเผยแบบส่วนตัวมากกว่าหนึ่งโหล โดยมีการทำซ้ำปัญหาระดับวิกฤตในเครื่องก่อนติดต่อผู้ดูแล ซึ่งเป็นแนวทางการเปิดเผยอย่างรับผิดชอบที่ทีมระบุว่ายังคงยึดถือ แม้ขนาดของความพยายามในเดือนสิงหาคมจะขยายตัวขึ้นก็ตาม
ทำไมจังหวะเวลาจึงไม่ใช่เรื่องบังเอิญ: ฉากหลังของ Coldcard
การตรวจสอบครั้งนี้ไม่ได้เกิดขึ้นอย่างโดดเดี่ยว มันเกิดขึ้นทันทีหลังจากสมมติฐานด้านความปลอดภัยของ Bitcoin ถูกสั่นคลอนอย่างจริงจัง ฮาร์ดแวร์วอลเล็ต Coldcard ของ Coinkite ซึ่งยาวนานมาแล้วถูกมองว่าเป็นหนึ่งในอุปกรณ์เก็บรักษาแบบเย็นที่น่าเชื่อถือที่สุดในวัฒนธรรมการดูแลสินทรัพย์ด้วยตนเองของ Bitcoin ทำให้ผู้ใช้สูญเสียเงินโดยประมาณ 130 ล้านดอลลาร์ หลังจาก เฟิร์มแวร์ที่ปล่อยในเดือนมีนาคม 2021 เปิดเผย seed ของวอลเล็ตผ่านกลไกสำรองข้อมูลซอฟต์แวร์แทนที่จะใช้ตัวสร้างเลขสุ่มฮาร์ดแวร์ของอุปกรณ์ ช่องโหว่นั้นทำให้กุญแจส่วนตัวสามารถคาดเดาได้แทนที่จะปลอดภัยในเชิงคริปโตกราฟี ในรายงานสรุปเหตุการณ์ Coinkite ระบุว่ามีความเป็นไปได้ที่ “มีคนใช้ AI ตรวจสอบเวอร์ชันก่อนหน้าของเฟิร์มแวร์เรา” รายละเอียดนี้ตอกย้ำว่าการรีวิวด้วย AI ได้เคลื่อนจากความอยากรู้อยากเห็นเฉพาะกลุ่มไปสู่เครื่องมือที่สามารถทั้งค้นหาและดูเหมือนจะใช้ประโยชน์จากจุดอ่อนในโครงสร้างพื้นฐานของ Bitcoin ได้อย่างรวดเร็วเพียงใด
ฉากหลังนี้อธิบายว่าทำไมสปรินต์ของ Bitcoin Red Team จึงมีน้ำหนักมากกว่าการล่าบั๊กทั่วไป จริยธรรมโอเพนซอร์สที่สร้างเครื่องมือรายล้อม Bitcoin มาโดยตลอด หมายความว่าโปรเจกต์ส่วนใหญ่ หากไม่ใช่โปรเจกต์ที่มีชื่อเสียงหรือได้รับทุนดี มักแทบไม่เคยได้รับการตรวจสอบความปลอดภัยอย่างจริงจังเลย การพบช่องโหว่กระจายอยู่ในฐานโค้ดหลายร้อยชุดไม่ได้หมายความว่าเงินถูกขโมยไปแล้วหรือโปรโตคอลหลักของ Bitcoin ถูกเจาะ การตรวจสอบครั้งนี้มุ่งเป้าไปที่วอลเล็ต ไลบรารี และแอปพลิเคชันที่ผู้ใช้ใช้โต้ตอบกับ Bitcoin ไม่ใช่ตัวเครือข่ายเอง แต่ต้นทุนการแก้ไขตอนนี้ตกอยู่กับผู้ดูแลแต่ละคน ซึ่งหลายคนเป็นอาสาสมัครหรือทีมเล็กๆ ที่ถูกใช้งานหนักอยู่แล้ว Red Team ส่งสัญญาณว่ามีแผนจะโอเพนซอร์สเครื่องมือที่อยู่เบื้องหลังสปรินต์ครั้งนี้ ซึ่งอาจเปลี่ยนวิธีที่อุตสาหกรรมคริปโตในวงกว้างเข้าหาการตรวจสอบความปลอดภัยในอนาคต หากผู้ดูแลสามารถตามให้ทันสิ่งที่เครื่องจักรยังคงค้นพบอย่างต่อเนื่อง
คำถามที่พบบ่อย
ขอบเขตของการตรวจสอบความปลอดภัยโดย Bitcoin Red Team คืออะไร?
การตรวจสอบครอบคลุมโปรเจกต์ Bitcoin 390 โปรเจกต์ และยื่นรายงานข้อค้นพบด้านความปลอดภัย 4,962 รายการภายในเวลาประมาณ 30 ชั่วโมง โดยใช้การสแกนที่มี AI ช่วยเหลือ โดยบางรายงานระบุช่วงเวลาที่แน่นอนที่ 27.5 ชั่วโมง
ช่องโหว่ที่ Bitcoin Red Team พบมีความรุนแรงแค่ไหน?
มีประเด็นระดับวิกฤต 85 รายการ และระดับรุนแรงสูง 635 รายการ รวมกันคิดเป็น 14.5% ของข้อค้นพบทั้งหมด
โปรเจกต์ประเภทใดที่มีช่องโหว่ร้ายแรงมากที่สุด?
โปรเจกต์ด้านความเป็นส่วนตัวและ coinjoin มีสัดส่วนข้อค้นพบร้ายแรงสูงสุดที่ 24% นำหน้ากลุ่มสวอป เอ็กซ์เชนจ์ และเครื่องมือชำระเงิน
ทำไมการตรวจสอบจึงเพิ่มความเครียดให้กับผู้ดูแลโปรเจกต์?
เพราะมีการเปิดเผยข้อค้นพบอย่างรวดเร็วเพื่อให้สามารถยืนยันได้อย่างทันท่วงที ความเร็วนี้จึงเพิ่มภาระงานให้ผู้ดูแลในช่วงเวลาที่ตึงเครียดอยู่แล้ว ซึ่งผู้นำแคมเปญอย่าง calle ได้ยอมรับและขอโทษต่อสาธารณะแล้ว
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ขอบเขตของการตรวจสอบความปลอดภัยโดย Bitcoin Red Team คืออะไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”การตรวจสอบครอบคลุมโปรเจกต์ Bitcoin 390 โปรเจกต์ และยื่นรายงานข้อค้นพบด้านความปลอดภัย 4,962 รายการภายในเวลาประมาณ 30 ชั่วโมง โดยใช้การสแกนที่มี AI ช่วยเหลือ โดยบางรายงานระบุช่วงเวลาที่แน่นอนที่ 27.5 ชั่วโมง”}},{“@type”:”Question”,”name”:”ช่องโหว่ที่ Bitcoin Red Team พบมีความรุนแรงแค่ไหน?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”มีประเด็นระดับวิกฤต 85 รายการ และระดับรุนแรงสูง 635 รายการ รวมกันคิดเป็น 14.5% ของข้อค้นพบทั้งหมด”}},{“@type”:”Question”,”name”:”โปรเจกต์ประเภทใดที่มีช่องโหว่ร้ายแรงมากที่สุด?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”โปรเจกต์ด้านความเป็นส่วนตัวและ coinjoin มีสัดส่วนข้อค้นพบร้ายแรงสูงสุดที่ 24% นำหน้ากลุ่มสวอป เอ็กซ์เชนจ์ และเครื่องมือชำระเงิน”}},{“@type”:”Question”,”name”:”ทำไมการตรวจสอบจึงเพิ่มความเครียดให้กับผู้ดูแลโปรเจกต์?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”เพราะมีการเปิดเผยข้อค้นพบอย่างรวดเร็วเพื่อให้สามารถยืนยันได้อย่างทันท่วงที ความเร็วนี้จึงเพิ่มภาระงานให้ผู้ดูแลในช่วงเวลาที่ตึงเครียดอยู่แล้ว ซึ่งผู้นำแคมเปญอย่าง calle ได้ยอมรับและขอโทษต่อสาธารณะแล้ว”}}]}
บทความนี้จัดทำขึ้นด้วยความช่วยเหลือของปัญญาประดิษฐ์และผ่านการทบทวนโดยกองบรรณาธิการ
