En un peu plus d’une journée, un groupe vaguement organisé de développeurs bénévoles et de leurs assistants IA a accompli quelque chose qu’aucune entreprise Bitcoin ni aucune équipe de développeurs n’aurait pu gérer seule : ils ont passé au crible des centaines de projets Bitcoin open source et ont signalé près de 5 000 problèmes de sécurité potentiels. L’initiative, menée sous le nom de Bitcoin Red Team, s’est transformée en l’une des campagnes d’audit de sécurité Bitcoin les plus vastes que l’écosystème ait connues, et elle impose une discussion inconfortable sur le niveau réel d’exposition des outils que les gens utilisent pour conserver et déplacer leurs bitcoins.
Summary
Points clés à retenir
- La Bitcoin Red Team a déposé 4 962 constats de sécurité couvrant 390 projets Bitcoin en environ 30 heures, une période que certains rapports estiment à 27,5 heures.
- Parmi ces constats, 85 ont été classés critiques et 635 à gravité élevée, représentant ensemble 14,5 % du total.
- L’équipe est composée de 16 personnes réparties dans le monde entier plus trois agents automatisés, avec 91 % des constats mis au jour par des analyses automatisées.
- Les outils de confidentialité et de coinjoin présentaient la plus grande part de problèmes sérieux avec 24 %, tandis que les bibliothèques cryptographiques ont produit le plus grand nombre brut de constats (1 101) mais avec un taux plus faible de 10 % de gravité élevée.
- Seuls 19 projets ont, à ce jour, vu leurs constats remontés en amont aux mainteneurs.
Au cœur de l’audit de sécurité massif de la Bitcoin Red Team
Il s’agit d’un sprint mené par des bénévoles qui a dirigé des modèles d’IA vers des centaines de bases de code Bitcoin en même temps, quelque chose qu’une revue de code manuelle ne pourrait jamais reproduire à ce rythme. Le protocole ecash Bitcoin Cashu a été développé par le créateur pseudonyme calle, qui a publié la première mise à jour de statut de la campagne, la décrivant comme un « audit de sécurité de l’écosystème à grande échelle » couvrant des bases de code Bitcoin.
Périmètre et ampleur en moins de 30 heures
Les chiffres bruts sont difficiles à ignorer. L’équipe a enregistré 4 962 constats couvrant 390 projets en environ 30 heures, selon la propre mise à jour de calle, bien que CoinDesk et Crypto Briefing aient fixé la fenêtre de travail à 27,5 heures. Ce rythme correspond à quelque chose entre 166 et 180 constats déposés par heure, selon le décompte retenu. Crypto Briefing a indiqué que le sprint était soutenu par près de 40 000 $ de financement d’OpenSats, une organisation à but non lucratif qui soutient le développement Bitcoin open source, tandis que CoinDesk a évoqué des coûts de calcul proches de 10 000 $ par jour pour maintenir les modèles d’IA en fonctionnement 24 heures sur 24.
Qui est derrière l’audit — et comment ils travaillent
Calle a indiqué que l’équipe est passée à 16 personnes réparties dans le monde entier travaillant par roulements, même si le rapport de situation lui-même recense 17 contributeurs, dont 14 humains et trois automatisés. La collecte automatisée a représenté 91 % de tous les constats, mais calle s’est empressé de préciser que les humains « tiennent toujours la main de l’IA » en coulisses. Plutôt que de standardiser une seule méthode de revue, le groupe a laissé chaque contributeur piloter ses propres agents comme il le souhaitait. Cette approche, a soutenu calle, « s’est révélée être la stratégie la plus efficace », car des personnes et des invites différentes ont tendance à faire remonter des bogues différents. Environ 21 % des constats ont déjà été reproduits dynamiquement avec du code de preuve de concept fonctionnel, ce qui renforce leur crédibilité au lieu de les laisser au stade de simples signaux théoriques.
Répartition par gravité : où se situe le risque réel
Chaque problème signalé n’est pas une alerte maximale, et la propre répartition par gravité de l’audit rend cette distinction claire. Sur près de 5 000 constats, une part relativement réduite est réellement dangereuse, tandis que la majorité relève de priorités plus basses.
Constats critiques et à gravité élevée en chiffres
Sur l’ensemble des constats, 85 ont été classés critiques et 635 à gravité élevée, représentant ensemble 14,5 % de l’ensemble, soit une moyenne d’environ 1,85 problème sérieux par projet examiné. CoinDesk a décrit le rythme de manière directe, notant que le groupe découvre en moyenne près d’un bogue critique par personne et par heure. Huit constats ont déjà été retirés en tant que faux positifs, rappelant que tous les signaux automatisés ne résistent pas à l’examen.
Quelles catégories de projets Bitcoin sont les plus exposées
La gravité n’était pas répartie uniformément dans l’écosystème. Les outils de confidentialité et de coinjoin ont affiché la plus forte proportion de constats à gravité élevée ou critique avec 24 %, devant les plateformes d’échange et de swap qui représentaient 21 % de l’activité, tandis que les solutions marchandes et l’infrastructure de paiement comptaient pour 17 %. Les SDK et les bibliothèques cryptographiques racontent une autre histoire : ils ont généré le plus grand volume brut de constats, avec 1 101, mais seulement 10 % d’entre eux ont franchi le seuil de gravité élevée. En d’autres termes, les logiciels axés sur la confidentialité peuvent comporter moins de bogues au total, mais une part disproportionnée de ceux qui y sont trouvés a tendance à être plus importante.
Divulgation sous pression : l’éthique de la vitesse
La divulgation rapide vise à protéger les utilisateurs, mais elle met aussi sous tension les mainteneurs mêmes qui sont responsables de corriger les bogues. Jusqu’à présent, seuls 19 projets, soit moins de 5 % de tout ce qui a été examiné, ont vu leurs constats remontés en amont. Cet écart entre constats déposés et constats divulgués est le principal point de tension de la campagne.
Calle a reconnu directement la charge que cela représente. « Nous sommes sincèrement désolés si nos rapports ont ajouté du stress à votre journée déjà stressante », a-t-il écrit, tout en défendant le rythme de la divulgation. Son raisonnement : les responsables de projet sont les mieux placés pour valider leurs propres constats, l’IA a rendu cette validation presque gratuite, et toute autre personne utilisant des outils similaires finirait de toute façon par tomber sur les mêmes bogues. Crypto Briefing a rapporté que le groupe avait déjà effectué des analyses sur environ 150 dépôts avant ce sprint, aboutissant à plus d’une douzaine de divulgations privées, avec des problèmes critiques reproduits localement avant que les mainteneurs ne soient contactés, une approche de divulgation responsable que l’équipe affirme maintenir même si l’ampleur de l’effort d’août s’est intensifiée.
Pourquoi le timing n’est pas une coïncidence : le contexte Coldcard
Cet audit ne s’est pas déroulé dans le vide. Il intervient juste après que les hypothèses de sécurité de Bitcoin ont subi un véritable revers. Le portefeuille matériel Coldcard de Coinkite, longtemps considéré comme l’un des dispositifs de stockage à froid les plus fiables dans la culture d’auto-garde de Bitcoin, a coûté aux utilisateurs une estimation de 130 millions de dollars perdus à la suite d’une version de firmware de mars 2021 qui a exposé les graines de portefeuille via un mécanisme de sauvegarde logiciel au lieu du générateur de nombres aléatoires matériel de l’appareil. Cette faille a rendu les clés privées devinables plutôt que cryptographiquement sécurisées. Dans son analyse post-mortem, Coinkite a noté qu’il était probable que « quelqu’un ait utilisé l’IA pour examiner des versions précédentes de notre firmware », un détail qui souligne à quel point la revue assistée par IA est rapidement passée d’une curiosité de niche à un outil capable à la fois de trouver et, apparemment, d’exploiter des faiblesses dans l’infrastructure Bitcoin.
Ce contexte explique pourquoi le sprint de la Bitcoin Red Team pèse plus lourd qu’un simple programme de prime aux bogues. L’éthique open source qui a construit l’outillage entourant Bitcoin a toujours signifié que la plupart des projets, à moins d’être très en vue ou bien financés, ne bénéficient presque jamais d’un audit de sécurité significatif. Le fait que des vulnérabilités apparaissent dans des centaines de bases de code ne signifie pas que des fonds ont été volés ni que le protocole central de Bitcoin est compromis ; l’audit a ciblé les portefeuilles, bibliothèques et applications que les gens utilisent pour interagir avec Bitcoin, et non le réseau lui-même. Mais les coûts de remédiation retombent désormais sur des mainteneurs individuels, dont beaucoup sont des bénévoles ou de petites équipes déjà très sollicitées. La Red Team a indiqué qu’elle prévoyait d’ouvrir le code des outils utilisés pour le sprint, une décision qui pourrait remodeler la manière dont l’ensemble de l’industrie crypto aborde les revues de sécurité à l’avenir, à condition que les mainteneurs puissent suivre le rythme de ce que les machines continuent de découvrir.
FAQ
Quel était le périmètre de l’audit de sécurité de la Bitcoin Red Team ?
L’audit a couvert 390 projets Bitcoin et a déposé 4 962 constats de sécurité en environ 30 heures à l’aide d’analyses assistées par IA, certains rapports situant la fenêtre exacte à 27,5 heures.
Quelle était la gravité des vulnérabilités trouvées par la Bitcoin Red Team ?
Il y a eu 85 problèmes critiques et 635 à gravité élevée, représentant 14,5 % de l’ensemble des constats.
Quel type de projets présentait les vulnérabilités les plus graves ?
Les projets axés sur la confidentialité et le coinjoin affichaient la plus grande part de constats sérieux avec 24 %, devant les swaps, les plateformes d’échange et les outils de paiement.
Pourquoi l’audit ajoute-t-il du stress aux mainteneurs de projet ?
Parce que les constats sont divulgués rapidement pour permettre une validation rapide, le rythme a alourdi la charge de travail des mainteneurs à un moment déjà difficile, ce que le responsable de la campagne, calle, a publiquement reconnu et pour lequel il s’est excusé.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quel était le périmètre de l’audit de sécurité de la Bitcoin Red Team ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’audit a couvert 390 projets Bitcoin et a déposé 4 962 constats de sécurité en environ 30 heures à l’aide d’analyses assistées par IA, certains rapports situant la fenêtre exacte à 27,5 heures. »}},{« @type »: »Question », »name »: »Quelle était la gravité des vulnérabilités trouvées par la Bitcoin Red Team ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Il y a eu 85 problèmes critiques et 635 à gravité élevée, représentant 14,5 % de l’ensemble des constats. »}},{« @type »: »Question », »name »: »Quel type de projets présentait les vulnérabilités les plus graves ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les projets axés sur la confidentialité et le coinjoin affichaient la plus grande part de constats sérieux avec 24 %, devant les swaps, les plateformes d’échange et les outils de paiement. »}},{« @type »: »Question », »name »: »Pourquoi l’audit ajoute-t-il du stress aux mainteneurs de projet ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Parce que les constats sont divulgués rapidement pour permettre une validation rapide, le rythme a alourdi la charge de travail des mainteneurs à un moment déjà difficile, ce que le responsable de la campagne, calle, a publiquement reconnu et pour lequel il s’est excusé. »}}]}
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.
