Bitcoin Red Team phát hiện 85 lỗi nghiêm trọng trong 390 repo mã nguồn mở

Vụ khai thác Coldcard châm ngòi cho chiến dịch rà soát quy mô lớn

Sau vụ khai thác lỗ hổng nghiêm trọng trên ví cứng Coldcard – gây thiệt hại hơn 100 triệu USD – cộng đồng Bitcoin đã nhanh chóng tập hợp lực lượng nhằm ngăn chặn các lỗi tương tự trong tương lai.

Lưu ý quan trọng: người dùng Coldcard chưa di chuyển bitcoin sang seed mới được tạo bằng firmware an toàn vẫn đang gặp rủi ro và nên tham khảo khuyến cáo chính thức về vấn đề này.

Dẫn đầu bởi Calle – kỹ sư phần mềm, người tạo ra phiên bản Android của Bitchat – và Rob Hamilton, CEO công ty bảo hiểm tự lưu ký Anchorwatch, nhóm được cộng đồng gọi vui là "Bitcoin Red Team" đã huy động nguồn tài trợ, chi hơn 40.000 USD cho token AI để rà soát hơn 390 repository mã nguồn mở trong lĩnh vực Bitcoin.

Hàng nghìn phát hiện chỉ trong hơn một ngày

Theo cập nhật mới nhất từ Calle, chỉ sau 27,5 giờ hoạt động, nhóm đã ghi nhận 4.962 phát hiện trên 390 dự án, bao gồm 85 lỗi ở mức nghiêm trọng (critical) và 635 lỗi ở mức cao (high severity), tương đương tốc độ 2,31 phát hiện mức cao/nghiêm trọng cho mỗi người mỗi giờ.

Chiến dịch diễn ra ngay sau khi sàn giao dịch Boltz thông báo tạm dừng hoạt động để "đuổi kịp" các nỗ lực tấn công bằng AI, trong bối cảnh liên tục xảy ra các vụ trộm bitcoin trên thiết bị Coldcard MK3+ do lỗi RNG (bộ sinh số ngẫu nhiên).

Sử dụng nhiều mô hình AI hàng đầu

Bitcoin Red Team đang sử dụng các mô hình như Kimi K3, GPT Sol, Fable, Opus và GLM5.2 – một số mô hình đắt đỏ và tiên tiến nhất trên thị trường. Ban đầu, quyền truy cập vào các mô hình của OpenAI và Anthropic bị hạn chế, buộc nhóm phụ thuộc nhiều vào các mô hình mã nguồn mở của Trung Quốc, điều mà nhiều người trong ngành xem là dấu hiệu đáng lo ngại cho vị thế dẫn đầu của Mỹ trong lĩnh vực AI.

Tuy nhiên, khi ảnh hưởng của Red Team tăng lên sau vụ hack Coldcard, kết nối với OpenAI đã được thiết lập, giúp nhóm có quyền truy cập GPT Sol. Bài đăng của Hamilton trên X ngày 4/8 cũng cho thấy nhóm đã có quyền truy cập mô hình Fable của Anthropic.

Toàn bộ chi phí, ghi nhận ở mức hơn 40.000 USD, do OpenSats – tổ chức phi lợi nhuận 501(c)(3) chuyên tài trợ các dự án phát triển Bitcoin mã nguồn mở – chi trả.

Công cụ rà soát tùy chỉnh và kế hoạch mở mã nguồn

Bitcoin Red Team hiện chưa có website hay repository GitHub công khai, nhưng đội ngũ gồm nhiều cá nhân trong ngành Bitcoin. Hamilton cho biết nhóm đã xây dựng một "harness" (bộ khung kiểm thử) tùy chỉnh, quy mô từng đạt 171.599 dòng code, được thiết kế để xác định và kiểm tra các thư viện phần mềm Bitcoin trọng yếu cùng đoạn code chịu tải cao, phát hiện và ghi nhận lỗ hổng, tái tạo lỗi và đóng gói dữ liệu thành báo cáo để chuyển đến kỹ sư trong ngành một cách có trách nhiệm.

Hamilton cho biết nhóm có kế hoạch mở mã nguồn công cụ này để các công ty Bitcoin có thể chạy thử trên codebase closed-source của họ. Red Team đang chủ động liên hệ với các dự án có lỗ hổng nghiêm trọng, khiến không ít kỹ sư cảm thấy lo lắng khi bất ngờ nhận tin nhắn trực tiếp từ Hamilton hoặc Calle.

Bài học về sự kết hợp giữa con người và AI

Theo Hamilton, các kỹ sư có kiến thức chuyên sâu về một lĩnh vực cụ thể đôi khi khai thác được kết quả giá trị cao từ Harness – những dấu hiệu công cụ có thể "đánh hơi thấy có gì bất thường" nhưng thiếu ngữ cảnh chuyên môn để xác định chính xác. Điều này cho thấy tầm quan trọng của việc kết hợp trí tuệ, kinh nghiệm con người với AI để phát hiện lỗ hổng hiệu quả.

Khép lại chiến dịch nhiều ngày sau vụ hack Coldcard, Hamilton chia sẻ quan điểm cá nhân rằng lỗ hổng trong bộ sinh số ngẫu nhiên của Coldcard và vụ khai thác sau đó là một "cuộc tấn công tinh thần" nhằm vào Bitcoin và triết lý tự lưu ký của ngành. Sau khi bày tỏ sự tiếc nuối cho những tổn thất mà cộng đồng Bitcoin phải chịu trong vụ hack mang tính lịch sử này, ông khép lại bằng thông điệp đầy quyết tâm: niềm tin vào ý tưởng và công nghệ Bitcoin là điều đáng để tiếp tục theo đuổi, và rằng "không có Bitcoin nào mà không có tự lưu ký".