Разработчики Bitcoin Core в четверг смерджили изменение политики безопасности. Уязвимости, которые Bitcoin-узел может выдать любой языковой модели за один запрос, больше не будут прятать месяцами. Раньше эмбарго на средние и высокие по опасности баги длилось примерно год, теперь исправление выходит сразу.
Причина кроется в цифрах. По данным CoinDesk, летом ИИ нашёл в биткоин-проектах несколько тысяч потенциальных ошибок, и часть из них всплыла в реальных атаках раньше, чем люди успели отреагировать.
Как работало старое эмбарго
Раньше Core оценивал каждую уязвимость по уровню опасности и от этого считал срок раскрытия. Низкие по серьёзности ошибки публиковали через две недели после выхода следующей мажорной версии. Средние и высокие лежали под эмбарго до двух недель после окончания поддержки последней затронутой версии, а это месяцы, иногда около года.
Логика была простой. Исправление выходит тихо, владельцы нод постепенно обновляются, и только потом мир узнаёт, что именно чинили. Атакующему некуда спешить, потому что он не знает, где дыра.
Эта схема держалась на допущении, что найти баг сложно. Теперь оно не работает.
Что именно изменили в правилах
При триаже Core теперь может пометить ошибку как легко находимую. Критерий дословный, и эта ошибка можно обнаружить "простым запросом к LLM". Для таких багов исправление переносят в каждую версию, которую проект ещё поддерживает, выпускают во внеочередном релизе "как можно скорее" и добавляют публичное сообщение с частью подробностей.
"Недавно мы увидели рост числа отчётов об уязвимостях, которые легко (пере)открыть. В основном это из-за того, что LLM резко снижают порог для поиска определённых классов ошибок или для выявления скрытых исправлений."
- Антуан Пуансо, разработчик Chaincode Labs, из предложения по изменению политики безопасности Bitcoin Core
В самом тексте политики старое эмбарго для таких случаев названо "плохим компромиссом", потому что оно почти ничего не даёт, зато задерживает выход исправленного релиза. Цена нового подхода тоже названа открыто. У исправлений будет меньше времени на тестирование, прежде чем они дойдут до пользователей.
Лето, которое сломало допущение
Лучше всего масштаб виден на примере группы Bitcoin Red Team. Шестнадцать разработчиков-волонтёров прогнали ИИ-модели по 390 биткоин-проектам примерно за сутки в конце июля и зафиксировали 4 962 находки. Критичными из них оказались 85.
Дальше пошли последствия, а не теория. Через несколько дней уязвимость в BTCPay Server, о которой группа сообщила приватно, уже эксплуатировали на живых серверах продавцов. Атаки опустошали Lightning-ноды, через которые торговцы принимают мелкие платежи. Core Lightning, одна из главных реализаций этой сети, посоветовал операторам отключиться после потока сгенерированных ИИ отчётов, которые оказались настоящими.
Coldcard и 594 BTC за 25 минут
Самая большая потеря лета случилась из-за ошибки, для которой ИИ не понадобился. Уязвимость в прошивке аппаратного кошелька Coldcard спала с 2021 года, а 30 июля атакующие вывели 594 BTC за 25 минут. Четыре волны выводов вместе приблизились к $114 миллионам.
Когда Coldcard выпустил исправление, в компании сказали, что ИИ помог найти и другие баги. Для владельцев аппаратных кошельков это неудобный вывод. Прошивка пятилетней давности может хранить дыру, которую сегодня найдёт любой с подпиской на чат-бота.
Спор о "тихих" исправлениях
Не все разработчики согласились с новым подходом. Антуан Риярд, давний исследователь безопасности биткоина, хотел сохранить за Core возможность выпускать исправление без публичного сообщения и придерживать подробности в отдельных случаях.
Пуансо отказал. По его словам, предупреждение пользователей без деталей создаёт лишний риск, ведь люди, которых баг на самом деле не касается, бросятся в поспешную миграцию. Тихий релиз, который легко распознать по изменениям в коде, лишь привлекает внимание злоумышленников.
Из этого столкновения позиций вышел такой набор правил.
- легко находимые баги исправляют во всех поддерживаемых ветках сразу
- к релизу добавляют advisory с частью деталей
- решение о "лёгкости" принимают при триаже, а не задним числом
- сложные уязвимости, которые ИИ не воспроизводит, остаются под старыми сроками.
Что это значит для владельцев нод и BTC
Для тех, кто запускает ноду, правило простое. Обновления безопасности теперь могут выходить чаще и неожиданнее, а читать примечания к релизу придётся внимательнее. Меньший "bake time" означает более высокий шанс, что в самом исправлении найдётся регрессия.
Для обычных владельцев биткоина, которые не запускают нод, ничего не меняется, деньги не исчезают от самой политики раскрытия. Но летние 594 BTC напомнили, что риск живёт в стороннем коде, которого они не видят. Поэтому мы в Kurslog советуем держать сумму для ежедневных обменов отдельно от долгосрочных накоплений.
Ни одной ошибки по новому правилу пока не пометили. Но секрет, который модель воспроизводит за один запрос, долго секретом не остаётся, и Core впервые признал это в правилах, а не в чате разработчиков.
Комментарии
Ваш e-mail адрес не будет опубликован. Обязательные поля отмечены *