web3：BTCレッドチームがKimi K3でスキャンし、7958件の問題を記録

ビットコインのオープンソースエコシステムは、より迅速なセキュリティレビューサイクルに突入しています。Bitcoin Red Teamによると、501のプロジェクトを約108時間かけて審査した結果、合計で7958件の問題が記録され、そのうち1280件が高危険または重大レベルに分類されました。ただし、これらの数字は必ずしも実際に悪用可能な脆弱性であることを示すものではなく、多くの結果については、管理者や研究者による更なる再現と検証が必要です。

一部の結果は既に再現され報告済み

公開データによると、約24.7％の問題が再現可能であると検証され、29.4％がプロジェクト管理者に提出されています。活動に参加した匿名開発者のCalleは、チームがビットコインのオープンソースエコシステム全体に基礎的なスキャンをほぼ完了しており、発見しやすい脆弱性の多くは既に広範囲にチェックされたと述べています。

この一連のアクションの中核ツールはMoonshot AIのKimi K3です。Calleは、最先端のモデルが、長年蓄積されたオープンソースコードを迅速にチェックできるようになったことで、古いソフトウェアがこれまで以上に厳格なセキュリティ審査にさらされるとの見解を示しています。しかし文中では、これがBitcoin Coreやすべてのビットコインプロジェクトが破られたという意味ではないことも強調されています。

Kimi K3は大規模コード監査に使用

独立テストによれば、Kimi K3はサイバーセキュリティタスクにおいて一定の能力を発揮しています。イギリスのAI Security InstituteとアメリカのCAISIの共同評価では、このモデルは脆弱性利用開発テストでGLM-5.2よりも優れていましたが、米国最強のクローズドソースモデルには及びませんでした。Kimi K3はExploitBenchで32％のスコアを獲得し、41サンプル中いずれも任意コード実行を達成しませんでした。

Bitcoin Red Teamは以前、390のビットコインプロジェクトで4962件の潜在的な問題を発見し、そのうち720件が当時高危険または重大レベルに分類されていました。最新の統計では、スキャン範囲と問題数の両方が初回より明らかに拡大しています。

BTCPay Serverが重大な脆弱性を修正

今回の活動は自動スキャンだけにとどまりません。BTCPay Serverは公式GitHubで発表した説明で、Bitcoin Red Teamの研究者Bruno Garcia、Ben Carman、および独立研究者による報告に基づき、重大な脆弱性を修正したことを確認しました。バージョン2.4.2では、Greenfield Basic Authenticationに影響する2要素認証バイパスの問題が修正されており、この脆弱性は当時既に悪用されていました。

BTCPay Serverはその後、攻撃者が影響を受けたデプロイメントからLND admin macaroonの認証情報を取得し、それによって接続されたLightning Networkウォレットにアクセスしていたことも明らかにしました。プロジェクト側は、Bitcoin Red Team、Project Loupe、Magic Grants、および独立研究者からのさらなる報告に対応しつつ、スキャンとレビューのプロセスを強化していると述べています。

これらの修正は、Red Teamの報告に含まれる一部の高リスク問題が管理者によって確認され対応済みであることを示しています。しかしこれは、7958件の記録すべてが有効であることの証明にはなりません。AI支援の監査で誤検知や重複報告が発生したり、人的調査によってリスクレベルが変更される場合もあります。

メンテナンスの対応速度がより重視される可能性

Calleは、AIによって脆弱性の発見とテストコストが大幅に低下することで、長期間メンテナンスされていないプロジェクトはより慎重に扱う必要があると考えています。プロジェクトチームによる脆弱性報告への対応速度が、今後プロジェクトの健全性をますます直接的に反映する可能性があります。今後は、メンテナが自分たちで継続的にAI監査プロセスを実行する必要があり、単なる偶発的な外部審査に頼るだけではなくなるかもしれません。

ビットコインエコシステムもこの方向に進みつつあります。OpenSatsは既に迅速なRed Team助成チャネルを導入しており、一部は研究者のLLMコスト補助に使われています。さらに40以上のビットコインおよびデジタル資産機関が、主要AIラボに対し、審査を経たオープンソースディフェンダーへの管理された最先端モデルのアクセス権（安全な環境、十分な計算力、AIセーフティチームとの直接的なコミュニケーションチャネルを含む）の提供を呼びかけています。

一般ユーザーにとって、より直接的なリスクは依然としてウォレットやLightning Networkインフラ、決済ソフトや古いコードベースに集中しており、ビットコインの基礎合意プロトコル自体ではありません。