4.962 résultats pour 40 000 dollars : Ce que l’audit de sécurité de la technologie Bitcoin IA révèle vraiment

La narration de surface est séduisante. Calle a décrit le rythme de travail de l’équipe comme étant d’environ un exploit critique par heure et par personne dans le logiciel Bitcoin. La sécurité est donc révolutionnée. Mais le chiffre qui représente vraiment l’histoire, c’est pas le taux de découvertes – c’est plutôt la structure des coûts.

The Bitcoin Red Team, un groupe de volontaires composé de 16 personnes, dirigé par le développeur de Bitcoin Calle et le PDG d’AnchorWatch, Rob Hamilton, a passé environ…40 000 dollars pour les calculs en intelligence artificielleScanner 390 dépôts open-source de Bitcoin et fichiers4,962 résultatsSur ces cas, 85 ont été classés comme critiques, et 635 comme ayant une gravité élevée. Ils ont examiné 171 599 lignes de code en environ 30 heures.

Décompose cela. Les audits traditionnels de contrats intelligents – le type que des entreprises professionnelles comme Trail of Bits ou OpenZeppelin effectuent pour des projets individuels – coûtent généralement entre$5 000 et $500 000Selon les termes de l’engagement, ce groupe a effectué une vérification du projet n°390 pour moins que le coût d’un service de niveau intermédiaire. Ce n’est pas une amélioration marginale ; c’est plutôt une perturbation des coûts structurels.

Mais le nombre de résultats trouvés ne dit que la moitié de l’histoire. Seulement environ 21 % des 4 962 résultats – soit environ 1 060 – ont été reproduits avec du code de vérification. 91 % des résultats ont été obtenus grâce à des scans automatisés, et non par une vérification manuelle. L’IA a identifié les candidats ; les humains ont alors confirmé ces candidats. Ce rapport est important, car il montre ce que l’IA fait réellement : réduire les coûts liés à la première vérification, plutôt que remplacer le jugement humain dans cette processus de vérification.

Le détonateur : 100 millions de dollars en trois heures

Ce n’est pas une simple activité académique. L’audit a été mené en réponse directe à l’exploit lié à Coldcard. Le 30 juillet, un attaquant a pu drainer 1 196 adresses Bitcoin en 41 minutes, volant ainsi…1,082,65 BTC – environ 70 millions de dollars à l’époqueLe montant total a ensuite dépassé 100 millions de dollars, avec près de 2 000 BTC. La portée du projet s’est étendue pour inclure les portefeuilles à phrase de passe et plusieurs modèles de matériel hardware.

Le problème provenait d’une erreur de intégration du firmware en mars 2021. La configuration de production définissait que le générateur aléatoire hardware était désactivé ; par conséquent, l’appareil utilisait silencieusement un générateur pseudo-aléatoire déterministe. Un attaquant qui pouvait contrôler l’identifiant de l’appareil, l’état du timer et l’historique des appels au générateur aléatoire pourrait reproduire des séquences de séquences de données en ligne, et les comparer aux données publiques sur la blockchain.

Une définition incorrecte de la macro à cinq ans dans un fichier de configuration de production. C’est ce genre de faiblesse structurelle qui augmente de manière linéaire en fonction du nombre de codes écrits, et de manière non linéaire en fonction du nombre de développeurs qui y ont accès. L’exploit Coldcard n’était pas un problème de type zero-day sophistiqué au sens traditionnel. C’était plutôt une faille de maintenance dans le code, qui n’a pas été révisée depuis 2021.

L’économie de la sécurité des écosystèmes

Décomposons maintenant la comparaison des coûts. La capitalisation boursière de Bitcoin se situe à environ 1,3 billions de dollars. Le prix du BTC est de 64 740 dollars – soit une baisse d’environ 48 % par rapport au sommet de 52 semaines de 125 500 dollars, et une baisse de 6,6 % en termes de croissance annuelle. L’écosystème soutient des centaines de projets open source qui gèrent le logiciel de portefeuille, les implementations de nœuds, les protocoles de paiement et les bibliothèques d’infrastructure. Presque aucun de ces projets ne dispose d’équipes de sécurité dédiées. La plupart dépendent plutôt des vérifications manuelles effectuées par les développeurs, ainsi que d’audits ponctuels.

Le modèle du Bitcoin Red Team change cette situation. OpenSats – une organisation non lucrative de type 501(c)(3) axée sur le développement open-source de Bitcoin – a financé les dépenses informatiques s’élevant à 40 000 dollars. Par la suite, elle a créé un fonds dédié aux équipes de Red Team afin de compenser les coûts liés aux technologies LLM pour les chercheurs en sécurité. L’ensemble des outils d’IA comprend Kimi K3, GPT Sol, Fable, Opus…GLM-5.2.

Ce qui se crée, c’est un circuit de flux de capitaux qui n’existait pas auparavant : une organisation sans but lucratif finance les technologies de l’IA → des volontaires effectuent des analyses continues → les résultats sont communiqués aux responsables → l’écosystème devient ainsi plus difficile à exploiter. Cela est structuralement différent du modèle d’audit par projet, où chaque collaboration représente une transaction distincte entre une entreprise et un client.

Mais le problème est que ce point de blocage change, il ne disparaît pas. L’IA réduit le coût de détection des vulnérabilités à presque zéro coût marginal. Mais elle ne réduit pas le coût de leur correction. Le véritable obstacle dans l’écosystème logiciel de Bitcoin n’est pas le fait de savoir si les vulnérabilités peuvent être détectées – elles le sont, à bas coût et à grande échelle. L’obstacle réel est que les personnes chargées du maintien du système ont les capacités, les fonds et les incitations nécessaires pour corriger ces vulnérabilités.

Ce que le marché n’a pas réagi à – et pourquoi

Le prix du BTC est resté pratiquement stable depuis l’échec de l’exploit Coldcard, confirmé le 30 juillet jusqu’à aujourd’hui. Sur le marché BTCUSDT, les flux de capitaux nets ont été légèrement négatifs jusqu’au 5 août ; puis, à partir du 6 août, ils sont devenus légèrement positifs jusqu’au 9 août. Il n’y a pas eu de vente panique, ni de capitulation des investisseurs. La volatilité sur 20 jours se situe à 2,08 %, bien en dessous de la moyenne de 2,76 % sur 60 jours.

Cette absence de réaction est en soi un signal. Le marché a déjà accepté l’idée que les infrastructures de garde de ses propres cryptomonnaies sont fragiles. L’exploitation de Coldcard a confirmé ce qui était évident sur le plan structurel : le modèle de sécurité du Bitcoin était conçu pour être immuable au niveau du protocole, et non pour s’adapter à la couche d’application open source qui s’y trouve aujourd’hui.

Mais le marché n’a pas encore évalué ce que cela signifie en termes de coûts. Si la reconnaissance continue assistée par l’IA devient la norme pour assurer la sécurité du écosystème Bitcoin, les coûts liés à des incidents similaires à ceux observés avec Coldcard diminueront. Pas à zéro – les développeurs doivent toujours fournir des correctifs, et les utilisateurs doivent toujours mettre à jour leurs systèmes – mais ils seront bien inférieurs à ce que c’est actuellement : un erreur de configuration vieille de cinq ans peut rester non détectée jusqu’à ce que l’attaquant la découvre.

Que regarder ensuite

• Vitesse de correction des bugs : Combien des 85 problèmes critiques et des 635 problèmes de niveau élevé sont corrigés dans les 60 jours ? Le taux de découverte indique la capacité du système à détecter les problèmes. Le taux de correction indique l’état réel de l’écosystème.
• Échelle du fonds OpenSats Red Team Fund : Cet fonds est nouveau. Le fait qu’il puisse continuer à effectuer des vérifications régulières sur des bases de données en constante expansion déterminera si il s’agit d’une simple épreuve de stress ou d’un changement structurel dans l’économie de la sécurité.
• Dynamiques de faux positifs : 79 % des résultats n’ont pas encore été reproduits avec le code PoC. Si ce chiffre reste élevé, cela signifie que l’analyse IA génère du bruit qui occupe l’attention des maintenanceeurs, sans aucune valeur réelle. Si ce chiffre diminue à mesure que les outils s’améliorent, le rapport signal/bruit devient vraiment utile.
• Mouvements de garde : Les utilisateurs de Coldcard qui transfèrent leurs fonds vers des exchanges et des ETF modifient la distribution des actifs sur la chaîne blockchain. Il est important de déterminer si cette action accélère la centralisation – un résultat structurel pour lequel la communauté Bitcoin lutte depuis des années.
• Que d’autres écosystèmes reproduisent ce modèle : les protocoles DeFi d’Ethereum, les protocoles de Solana et autres chaînes de blocs se heurtent au même problème de maintenance open-source. Le manuel de travail du Red Team pour Bitcoin est applicable à tous. Si celui-ci se propage, le coût des audits de sécurité au niveau de l’ensemble de l’écosystème cryptographique diminuera.

La description de Calle selon laquelle il y a environ un problème critique par heure et par personne est intéressante. En réalité, cela signifie que un budget de 40 000 dollars pour les calculs d’IA permet de scanner plus de logiciels liés à Bitcoin en 30 heures, ce que toute l’industrie d’audit professionnel ne pourrait pas faire en une année, avec les prix actuels. Cette compression structurelle ne signifie pas que la sécurité soit résolue. Cela signifie simplement que le problème se trouve maintenant dans la correction des bugs – et l’écosystème a une longue histoire de manque de rapidité dans cette phase.