Розробники Bitcoin Core у четвер змерджили зміну політики безпеки. Вразливості, які Bitcoin-вузол може видати будь-якій мовній моделі за один запит, більше не ховатимуть місяцями. Раніше ембарго на середні й високі за ступенем небезпеки баги тривало приблизно рік, тепер виправлення виходить одразу.
Причина лежить у цифрах. За даними CoinDesk, влітку ШІ знайшов у біткоїн-проєктах кілька тисяч потенційних помилок, і частина з них вилізла в реальні атаки раніше, ніж люди встигли відреагувати.
Як працювало старе ембарго
Раніше Core оцінював кожну вразливість за рівнем небезпеки і від цього рахував термін розкриття. Низькі за серйозністю помилки публікували через два тижні після виходу наступної мажорної версії. Середні й високі лежали під ембарго до двох тижнів після завершення підтримки останньої зачепленої версії, а це місяці, іноді близько року.
Логіка була простою. Виправлення виходить тихо, власники нод поступово оновлюються, і лише потім світ дізнається, що саме лагодили. Атакувальнику нікуди поспішати, бо він не знає, де діра.
Ця схема трималася на припущенні, що знайти баг складно. Тепер це припущення не працює.
Що саме змінили у правилах
Під час тріажу Core тепер може позначити помилку як таку, що легко знайти. Критерій дослівний, і ця помилка можна виявити "простим запитом до LLM". Для таких багів виправлення переносять у кожну версію, яку проєкт ще підтримує, випускають у позачерговому релізі "якнайшвидше" і додають публічне повідомлення з деякими подробицями.
"Нещодавно ми побачили зростання кількості звітів про вразливості, які легко (пере)відкрити. Здебільшого це через те, що LLM різко знижують поріг для пошуку певних класів помилок або для виявлення прихованих виправлень."
- Антуан Пуансо, розробник Chaincode Labs, з пропозиції щодо зміни політики безпеки Bitcoin Core
У самому тексті політики старе ембарго для таких випадків названо "поганим компромісом", бо воно майже нічого не дає, зате затримує вихід виправленого релізу. Ціна нового підходу теж названа відверто. Виправлення матимуть менше часу на тестування, перш ніж потраплять до користувачів.
Літо, яке зламало припущення
Найкраще видно масштаб на прикладі групи Bitcoin Red Team. Шістнадцять волонтерів-розробників пустили ШІ-моделі по 390 біткоїн-проєктах приблизно за добу наприкінці липня і зафіксували 4 962 знахідки. Критичними з них виявилися 85.
Далі пішли наслідки, а не теорія. Через кілька днів вразливість у BTCPay Server, про яку група повідомила приватно, вже експлуатували на живих серверах продавців. Атаки спустошували Lightning-ноди, якими торговці приймають дрібні платежі. Core Lightning, одна з головних реалізацій цієї мережі, порадив операторам відключитися після потоку згенерованих ШІ звітів, які виявилися справжніми.
Coldcard і 594 BTC за 25 хвилин
Найбільша втрата літа сталася через помилку, для якої ШІ не знадобився. Вразливість у прошивці апаратного гаманця Coldcard спала з 2021 року, а 30 липня атакувальники вивели 594 BTC за 25 хвилин. Чотири хвилі виведень разом наблизилися до $114 мільйонів.
Коли Coldcard випустив виправлення, у компанії сказали, що ШІ допоміг знайти й інші баги. Для власників апаратних гаманців це незручний висновок. Прошивка, якій п'ять років, може мати діру, яку сьогодні знайде будь-хто з підпискою на чат-бота.
Суперечка про "тихі" виправлення
Не всі розробники погодилися з новим підходом. Антуан Ріярд, давній дослідник безпеки біткоїна, хотів зберегти за Core можливість випускати виправлення без публічного повідомлення і притримувати подробиці в окремих випадках.
Пуансо відмовив. За його словами, попередження користувачів без деталей створює зайвий ризик, бо люди, яких баг насправді не зачіпає, кинуться в поспішну міграцію. Тихий реліз, який легко розпізнати за змінами в коді, лише привертає увагу зловмисників.
Із цього зіткнення позицій вийшов такий набір правил.
- легкі для пошуку баги виправляють у всіх підтримуваних гілках одразу
- до релізу додають advisory з частиною деталей
- рішення про "легкість" ухвалюють під час тріажу, а не заднім числом
- складні вразливості, які ШІ не відтворює, лишаються під старими термінами.
Що це означає для власників нод і BTC
Для тих, хто запускає ноду, правило просте. Оновлення безпеки тепер можуть виходити частіше й несподіваніше, а читати примітки до релізу доведеться уважніше. Менший "bake time" означає вищий шанс, що в самому виправленні знайдеться регресія.
Для звичайних власників біткоїна, які не запускають нод, нічого не змінюється, гроші не зникають від самої політики розкриття. Але літні 594 BTC нагадали, що ризик живе в сторонньому коді, який вони не бачать. Тому ми в Kurslog радимо тримати суму для щоденних обмінів окремо від довгострокових накопичень.
Жодної помилки за новим правилом ще не позначили. Але секрет, який модель відтворює за один запит, довго секретом не залишається, і Core це вперше визнав у правилах, а не в чаті розробників.
Коментарі
Ваша e-mail адреса не оприлюднюватиметься. Обов'язкові поля позначені *