先ごろColdcardのハードウェアウォレットで見つかった壊滅的な脆弱性は、1億ドルを超える規模のビットコイン流出につながった。これを機に、ビットコインのコミュニティは、業界のオープンソースソフトウェアで今後こうした重大なバグが生まれるのを防ごうと動き出している。
Bitcoin Red Teamを率いるのは、ソフトウェアエンジニアでバイブコーディングを積極的に手がけ、BitchatのAndroid版を作ったCalle氏と、ビットコインのセルフカストディ保険を扱うAnchorWatchでCEOを務めるロブ・ハミルトン氏だ。同チームはすでに資金を確保し、ビットコイン関連の390を超えるオープンソースリポジトリを監査するために、4万ドル超をAIのトークン利用料に投じている。
「Bitcoin Red Team」という通称で呼ばれ、ハミルトン氏とCalle氏が「ビットコインのCEOとCTO」だとするミームまで出回るなか、このAI主導のセキュリティ監査は業界全体に大きな影響を及ぼしている。数日前には、RNGのバグによってMK3以降のColdcardからビットコインが流出し続けているというニュースに埋もれる形で、Boltzが、AIを使ったハッキングの試みに対応が追いつかないとしてサービスを停止すると発表している。
「開始から27.5時間で、390のプロジェクトについて4,962件の指摘を提出した。うち重大（critical）が85件、深刻度の高い（high）ものが635件だ。1人1時間あたり2.31件のペースで、high以上を出している」。業界のサイバーセキュリティを立て直すRed Teamの取り組みについて、Calle氏は最新の報告でこう述べた。
Red Teamのセキュリティレビューでは、Kimi K3、GPT Sol、Fable、Opus、GLM5.2といった、市場でも最も高価で最先端の部類に入るモデルが使われている。当初はOpenAIとAnthropicのモデルへのアクセスが限られており、中国発のオープンソースモデルに頼らざるをえなかった。業界には、これを嘆く声や、米国のAI覇権にとって悪い兆しだと受け止める向きが少なくなかった。だが先週のColdcardハッキング以降、Red Teamの影響力が増すにつれてOpenAIとの関係が築かれ、GPT Solを使えるようになった。ハミルトン氏が8月4日の投稿でFableに触れていることからすると、Anthropicへのアクセスも確立されたとみられる。
直近で4万ドル超と集計されている費用は、オープンソースのビットコイン開発プロジェクトへの資金提供を目的とする非営利団体（501(c)(3)）のOpenSatsが負担している。Bitcoin Red Teamは現時点でウェブサイトもGitHubリポジトリも持たないが、チームはビットコイン業界の多くの個人で構成されている。支援に対して公に謝意が示された人物には、danielabrozzoni、lylepratt、stutxo、benthecarman、thesimplekidらがいる。
ハミルトン氏によれば、独自のハーネスが構築され、急速に進化している。一時点で17万1,599行のコードからなるこのハーネスは、ビットコインの重要なソフトウェアライブラリや、多くの機能を支える中核的なコードを特定してテストし、脆弱性を見つけて記録し、それを再現したうえで、裏付けの取れたデータを実用的なレポートにまとめるよう設計されている。最終的には、その情報を業界のエンジニアへ責任ある形で届けることを狙う。ハミルトン氏はさらに、ビットコイン企業が自社のクローズドソースのコードに対して実行できるよう、このハーネスをオープンソース化する意向も示した。
Red Teamは、重大な脆弱性が見つかったオープンソースプロジェクトへ積極的に連絡を取っている。その結果、ハミルトン氏やCalle氏から前触れなくダイレクトメッセージが届くことに、業界のエンジニアの間では広く戦々恐々とした空気が生まれている。ソーシャルメディアには、その様子を面白おかしく捉えたスクリーンショットがいくつも投稿されている。
https://x.com/callebtc/status/2085035257477190080
AI主導によるビットコインのFOSS（フリー／オープンソースソフトウェア）のセキュリティ更新が進むなか、Red Teamが公にしてきた重要な知見の一つとして、ハミルトン氏は、特定分野に通じたエンジニアが関わることで、ハーネスから価値の高い結果を引き出せる場合があると述べた。ハーネス単体では「何かがおかしいと嗅ぎつける」ことはできても、ニッチな文脈が抜け落ちていることがあるという。重大な脆弱性を効率よく見つけるには、人間の知見と経験がAIと手を携えて働くことが欠かせない。そう物語る指摘だ。
ハミルトン氏はまた、Coldcardのハッキングを受けて数日にわたって続いたRed Teamの取り組みを締めくくるにあたり、個人的な思いを書き添えている。Coldcardの乱数生成器に見つかった脆弱性と、それがハッカーによって悪用されたことは、ビットコインと、業界が抱いてきたセルフカストディの精神に対する「霊的な攻撃」だったと同氏は述べた。「言葉どおりの意味で言っている」
いまや歴史的なものとなったこのハッキングで多くのビットコイナーが被った損失に痛切な思いを示したうえで、ハミルトン氏は固い決意をにじませて投稿を締めくくった。
「いま、状況は容易ではない。それでも、ビットコインという思想と技術が戦うに値するものだという確信は、人生でこれまでにないほど強い。その意味で、セルフカストディなくしてビットコインは存在しない。ここに交渉の余地はない」
