في غضون يوم واحد فقط، تمكنت مجموعة غير مركزية من المبرمجين المتطوعين ومساعديهم من نماذج الذكاء الاصطناعي من إنجاز ما لم تستطع أي شركة بيتكوين واحدة أو فريق تطوير منفرد تحقيقه بمفرده: قاموا بتمشيط مئات من مشاريع البيتكوين مفتوحة المصدر ووضعوا علامات على ما يقرب من 5,000 مشكلة أمنية محتملة. هذه الحملة، التي تُدار تحت اسم فريق البيتكوين الأحمر (Bitcoin Red Team)، تحولت إلى واحدة من أوسع حملات تدقيق أمني لبيتكوين شهدها النظام البيئي، وهي تفرض نقاشًا غير مريح حول مدى تعرض الأدوات التي يستخدمها الناس فعليًا للاحتفاظ بالبيتكوين وتحريكه.
Summary
أهم النقاط
- قدّم فريق البيتكوين الأحمر 4,962 نتيجة أمنية عبر 390 مشروع بيتكوين في حوالي 30 ساعة، وهي فترة زمنية تشير بعض التقارير إلى أنها بلغت 27.5 ساعة.
- من بين هذه النتائج، تم تصنيف 85 على أنها حرجة و635 عالية الخطورة، ما يشكل معًا 14.5% من الإجمالي.
- يتكون الفريق من 16 شخصًا موزعين عالميًا بالإضافة إلى ثلاثة وكلاء آليين، مع ظهور 91% من النتائج عبر عمليات فحص آلية.
- حملت أدوات الخصوصية وعمليات الكوين جوين أعلى نسبة من المشكلات الخطيرة عند 24%، في حين أنتجت المكتبات التشفيرية أكبر عدد خام من النتائج (1,101) ولكن بمعدل 10% فقط من النتائج عالية الخطورة.
- فقط 19 مشروعًا تم حتى الآن رفع نتائجها إلى القائمين على الصيانة في المستودعات الأصلية.
داخل التدقيق الأمني الشامل لفريق البيتكوين الأحمر
هذا سباق تطوعي قصير المدى وجّه نماذج الذكاء الاصطناعي نحو مئات من قواعد شيفرات البيتكوين دفعة واحدة، وهو أمر لا يمكن لمراجعة الشيفرة اليدوية أن تكرره بهذه الوتيرة. تم تطوير بروتوكول النقد الإلكتروني الخاص بالبيتكوين Cashu بواسطة المبدع مجهول الهوية calle، الذي أصدر التحديث الأولي لحالة الحملة، واصفًا إياها بأنها “تدقيق أمني واسع النطاق للنظام البيئي” عبر قواعد شيفرات البيتكوين.
النطاق والحجم في أقل من 30 ساعة
الأرقام الخام يصعب تجاهلها. سجّل الفريق 4,962 نتيجة عبر 390 مشروعًا في حوالي 30 ساعة، وفقًا لتحديث calle نفسه، رغم أن CoinDesk وCrypto Briefing قدّرتا نافذة العمل بـ 27.5 ساعة. تعادل هذه الوتيرة ما بين 166 و180 نتيجة مُسجّلة في الساعة، اعتمادًا على أي تقدير تستخدمه. ذكرت Crypto Briefing أن السباق تم تمويله بـما يقرب من 40,000 دولار من OpenSats، وهي منظمة غير ربحية تدعم تطوير البيتكوين مفتوح المصدر، بينما أشارت CoinDesk إلى أن تكاليف الحوسبة بلغت ما يقرب من 10,000 دولار يوميًا للحفاظ على تشغيل نماذج الذكاء الاصطناعي على مدار الساعة.
من يقف وراء التدقيق — وكيف يعملون
قال calle إن الفريق نما ليضم 16 شخصًا موزعين عالميًا يعملون بنظام المناوبات، رغم أن تقرير الحالة نفسه يسجل 17 مساهمًا، 14 منهم بشر وثلاثة آليون. شكّلت المدخلات الآلية 91% من جميع النتائج، لكن calle سارع إلى الإشارة إلى أن البشر ما زالوا إلى حد كبير “يمسكون بيد الذكاء الاصطناعي” خلف الكواليس. بدلًا من توحيد طريقة مراجعة واحدة، سمحت المجموعة لكل مساهم بأن يوجّه وكلاءه الآليين بالطريقة التي يفضلها. يجادل calle بأن ذلك “ثبت أنه الاستراتيجية الأكثر فعالية”، لأن الأشخاص المختلفين والمحفزات المختلفة يميلون إلى كشف أخطاء مختلفة. تم بالفعل إعادة إنتاج حوالي 21% من النتائج ديناميكيًا باستخدام شيفرة إثبات مفهوم عاملة، ما يضيف وزنًا للمزاعم بدلًا من تركها مجرد إشارات نظرية.
تفصيل مستويات الخطورة: أين يكمن الخطر الحقيقي
ليست كل مشكلة مُعلّمة إنذارًا من الدرجة القصوى، ويُظهر تفصيل مستويات الخطورة في التدقيق هذا الفارق بوضوح. من بين ما يقرب من 5,000 نتيجة، لا تستوفي سوى شريحة صغيرة نسبيًا معايير كونها خطيرة بالفعل، بينما يقع الجزء الأكبر في نطاق أولويات أقل.
النتائج الحرجة وعالية الخطورة بالأرقام
من إجمالي النتائج، تم تصنيف 85 على أنها حرجة و635 على أنها عالية الخطورة، ما يشكل معًا 14.5% من كامل المجموعة، أو متوسطًا يبلغ حوالي 1.85 مشكلة خطيرة لكل مشروع تمت مراجعته. عرضت CoinDesk الوتيرة بشكل مباشر، مشيرة إلى أن المجموعة تكتشف في المتوسط ما يقرب من خطأ حرج واحد لكل شخص في الساعة. تم بالفعل إلغاء ثماني نتائج باعتبارها إيجابيات كاذبة، في تذكير بأن ليس كل إشارة آلية تصمد أمام التدقيق.
أي فئات مشاريع البيتكوين هي الأكثر تعرضًا
لم تُوزَّع الخطورة بالتساوي عبر النظام البيئي. أعادت أدوات الخصوصية والكوين جوين أعلى نسبة من النتائج عالية أو حرجة الخطورة عند 24%، متقدمة على البورصات وعمليات المبادلة التي مثّلت 21% من النشاط، بينما شكّلت حلول التجار وبنية الدفع التحتية 17%. قدّمت مجموعات تطوير البرمجيات (SDKs) والمكتبات التشفيرية قصة مختلفة: فقد ولّدت أكبر حجم خام من النتائج، عند 1,101، لكن 10% فقط منها تجاوزت عتبة الخطورة العالية. بعبارة أخرى، قد تحمل البرمجيات المتمحورة حول الخصوصية عددًا أقل من الأخطاء إجمالًا، لكن نسبة غير متناسبة مما يُكتشف هناك يميل إلى أن يكون أكثر أهمية.
الإفصاح تحت الضغط: أخلاقيات التحرك السريع
يهدف الإفصاح السريع إلى حماية المستخدمين، لكنه في الوقت نفسه يرهق القائمين على الصيانة المسؤولين عن إصلاح الأخطاء. حتى الآن، لم يتم رفع النتائج إلى المستودعات الأصلية إلا في 19 مشروعًا، أي أقل من 5% من كل ما تمت مراجعته. هذه الفجوة بين النتائج المُسجّلة والنتائج المُفصح عنها هي موضع التوتر الأكبر في الحملة.
أقرّ calle مباشرةً بحجم العبء. كتب: “نحن نعتذر بصدق إذا كانت تقاريرنا قد أضافت ضغطًا إلى يومك المجهد بالفعل”، بينما دافع عن وتيرة الإفصاح. منطقه: مالكو المشاريع هم الأفضل تموضعًا للتحقق من نتائجهم الخاصة، وقد جعل الذكاء الاصطناعي هذا التحقق شبه مجاني، وأي شخص آخر يشغّل أدوات مماثلة سيصطدم في النهاية بنفس الأخطاء على أي حال. ذكرت Crypto Briefing أن المجموعة كانت قد أجرت بالفعل عمليات فحص عبر حوالي 150 مستودعًا قبل هذا السباق، ما أسفر عن أكثر من اثني عشر إفصاحًا خاصًا، مع إعادة إنتاج المشكلات الحرجة محليًا قبل التواصل مع القائمين على الصيانة، وهو نهج إفصاح مسؤول يقول الفريق إنه متمسك به حتى مع تصاعد حجم جهد أغسطس.
لماذا التوقيت ليس مصادفة: خلفية Coldcard
لم يحدث هذا التدقيق في فراغ. فقد جاء مباشرة بعد أن تعرضت افتراضات الأمان في بيتكوين لضربة حقيقية. محفظة الأجهزة Coldcard التابعة لشركة Coinkite، والتي اعتُبرت لفترة طويلة واحدة من أكثر أجهزة التخزين البارد موثوقية في ثقافة الحفظ الذاتي للبيتكوين، تسببت للمستخدمين بخسائر تقديرية بلغت 130 مليون دولار بعد إصدار برمجيات ثابتة (firmware) في مارس 2021 كشف بذور المحافظ عبر آلية نسخ احتياطي برمجية بدلًا من مولّد الأرقام العشوائية في عتاد الجهاز. جعل هذا الخلل المفاتيح الخاصة قابلة للتخمين بدلًا من أن تكون آمنة تشفيريًا. في تقرير ما بعد الحادثة، أشارت Coinkite إلى أنه من المرجح أن “شخصًا ما استخدم الذكاء الاصطناعي لمراجعة الإصدارات السابقة من برمجياتنا الثابتة”، وهي تفصيلة تبرز مدى السرعة التي انتقل بها التدقيق المدعوم بالذكاء الاصطناعي من فضول متخصص إلى أداة قادرة على اكتشاف، وعلى ما يبدو استغلال، نقاط الضعف في بنية بيتكوين التحتية.
تفسر هذه الخلفية سبب حمل سباق فريق البيتكوين الأحمر لوزن أكبر من مجرد برنامج مكافآت أخطاء روتيني. إن روح المصدر المفتوح التي بنت الأدوات المحيطة ببيتكوين تعني دائمًا أن معظم المشاريع، ما لم تكن ذات شهرة عالية أو تمويل جيد، نادرًا ما تحصل على مراجعة أمنية ذات مغزى على الإطلاق. ظهور ثغرات عبر مئات من قواعد الشيفرات لا يعني أن الأموال قد سُرقت أو أن بروتوكول بيتكوين الأساسي قد تم اختراقه؛ فقد استهدف التدقيق المحافظ والمكتبات والتطبيقات التي يستخدمها الناس للتفاعل مع بيتكوين، وليس الشبكة نفسها. لكن تكاليف المعالجة الآن تقع على عاتق القائمين على الصيانة الأفراد، وكثير منهم متطوعون أو فرق صغيرة مرهقة بالفعل. أشار فريق Red Team إلى أنه يخطط لجعل الأدوات التي تقف وراء السباق مفتوحة المصدر، وهي خطوة يمكن أن تعيد تشكيل الطريقة التي يتعامل بها قطاع التشفير الأوسع مع مراجعة الأمان في المستقبل، شريطة أن يتمكن القائمون على الصيانة من مواكبة ما تستمر الآلات في اكتشافه.
الأسئلة الشائعة
ما هو نطاق التدقيق الأمني الذي أجراه فريق البيتكوين الأحمر؟
غطى التدقيق 390 مشروع بيتكوين وسجّل 4,962 نتيجة أمنية في حوالي 30 ساعة باستخدام فحصًا مدعومًا بالذكاء الاصطناعي، مع إشارة بعض التقارير إلى أن النافذة الدقيقة بلغت 27.5 ساعة.
ما مدى خطورة الثغرات التي اكتشفها فريق البيتكوين الأحمر؟
كانت هناك 85 مشكلة حرجة و635 مشكلة عالية الخطورة، ما يشكل 14.5% من إجمالي النتائج.
ما نوع المشاريع التي احتوت على أخطر الثغرات؟
مشاريع الخصوصية والكوين جوين كانت لديها أعلى نسبة من النتائج الخطيرة عند 24%، متقدمة على مشاريع المبادلات والبورصات وأدوات الدفع.
لماذا يضيف التدقيق ضغطًا على القائمين على صيانة المشاريع؟
لأن النتائج تُفصح بسرعة للسماح بالتحقق السريع، فقد أضافت الوتيرة عبئًا على عمل القائمين على الصيانة في لحظة صعبة بالفعل، وهو أمر أقرّ به علنًا قائد الحملة، calle، واعتذر عنه.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ما هو نطاق التدقيق الأمني الذي أجراه فريق البيتكوين الأحمر؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”غطى التدقيق 390 مشروع بيتكوين وسجّل 4,962 نتيجة أمنية في حوالي 30 ساعة باستخدام فحصًا مدعومًا بالذكاء الاصطناعي، مع إشارة بعض التقارير إلى أن النافذة الدقيقة بلغت 27.5 ساعة.”}},{“@type”:”Question”,”name”:”ما مدى خطورة الثغرات التي اكتشفها فريق البيتكوين الأحمر؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”كانت هناك 85 مشكلة حرجة و635 مشكلة عالية الخطورة، ما يشكل 14.5% من إجمالي النتائج.”}},{“@type”:”Question”,”name”:”ما نوع المشاريع التي احتوت على أخطر الثغرات؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”مشاريع الخصوصية والكوين جوين كانت لديها أعلى نسبة من النتائج الخطيرة عند 24%، متقدمة على مشاريع المبادلات والبورصات وأدوات الدفع.”}},{“@type”:”Question”,”name”:”لماذا يضيف التدقيق ضغطًا على القائمين على صيانة المشاريع؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”لأن النتائج تُفصح بسرعة للسماح بالتحقق السريع، فقد أضافت الوتيرة عبئًا على عمل القائمين على الصيانة في لحظة صعبة بالفعل، وهو أمر أقرّ به علنًا قائد الحملة، calle، واعتذر عنه.”}}]}
تم إعداد هذه المقالة بمساعدة الذكاء الاصطناعي ومراجعتها من قبل الفريق التحريري.
