Frivilliga utvecklare hittade 4 962 säkerhetsproblem i 390 Bitcoinprojekt på ungefär 30 timmar. Av de 391 kodbaser de granskade var det bara en som var utan fel.
Gruppen kallar sig Bitcoin Red Team. De bedömde att 720 av dessa fynd var allvarliga eller kritiska. Endast 147 har nått de projektansvariga som ska lösa problemen.
Var sjunde upptäckt är allvarlig
Fördelningen mellan olika nivåer av allvar är jämnare än den totala siffran visar. Granskarna rapporterade 85 kritiska problem och 635 med hög allvarlighetsgrad.
Det motsvarar 14,5 % av allt de hittade. Resten klassas som medel, låg eller endast information. Ytterligare 246 fynd har inte fått någon allvarlighetsnivå alls.
Beviskvaliteten varierar också. Ungefär 21,4 % hade fungerande testkod som bevis. Cirka 91 % kom genom automatiska skanningar. Granskarna avfärdade endast åtta som falska larm.
Följ oss på X för att få de senaste nyheterna direkt
En timme stod för 83 % av fynden
Det är viktigt att förstå de 30 timmarna rätt. En enda timme gav 4 101 fynd. Den ökningen var en insamling av äldre data, inte en direkt skanning. Rob Hamilton, vd för Bitcoinförsäkraren AnchorWatch, gjorde en egen granskning innan kampanjen officiellt startade.
Han säger att han betalade över 10 000 USD för att skanna mer än 100 bibliotek.
Om man tar bort denna dumpning ändras tempot snabbt. Cirka 840 fynd kom in under de andra 29 timmarna. Det blir ungefär 29 per timme i stället för de 166,3 som rapporten nämner.
Statistiken pekar bort från hårdvaruplånböcker
Fördelningen mellan kategorier ger en överraskning. Hårdvaruplånböcker och firmware, där gruppen Coldcard ingår, hade näst lägst andel allvarliga brister med 9,6 %.
Andra områden klarade sig sämre. Miningpooler hade 21,7 %, infrastruktur och verktyg 21,5 % och swappar och börser 20,9 %. Sekretessverktyg låg högst med 24 %, men granskarna undersökte bara tre av dessa.
Kryptobibliotek stod för flest fynd. De gav 1 385 säkerhetsproblem i 128 projekt, alltså mer än en fjärdedel av alla projekt.
Calle, den pseudonyma fysikern som skapade Cashu ecash-protokollet, säger att projektansvariga nu bekräftar de värsta rapporterna.
De flesta kritiska rapporter vi gjort har projektägarna snabbt bekräftat. Vi vet att vi hittar riktiga problem, skrev de.
Därför bildades Red Team efter Coldcard
Granskningen började på grund av ett enskilt trasigt chip. Coinkite meddelade den 30 juli att seedgenerering i drabbade Coldcard-enheter föll tillbaka på en förutsägbar mjukvarurutin.
Bristen var allvarlig. Endast 32 bitar kom från den säkra delen, vilket gjorde att en angripare bara behövde göra cirka 4,3 miljarder gissningar.
Galaxy Research uppskattade bekräftade stölder till 1 596 Bitcoin (BTC) från cirka 7 300 adresser den 4 augusti. En misstänkt fjärde attackvåg skulle kunna öka totalen till nästan 130 miljoner USD. Galaxy poängterar att deras adresslista inte är definitiv.
Panik syntes även i blockkedjan, där aktiva adresser ökade till den högsta nivån på 20 månader. Koreanska innehavare klarade sig oftast eftersom tärningsbaserade seeds är vanliga där.
Svag slumpmässighet är ett återkommande problem i Bitcoin. 2023 orsakade Milk Sad-buggen att Libbitcoin Explorer-nycklar skapades från 32 bitar klocktid. I maj tömde Ill Bloom-sårbarheten 5,7 miljoner USD från plånböcker som byggts på en svag JavaScript-generator.
Finansiering följer efter upptäckterna
OpenSats, en ideell organisation som finansierar Bitcoinutveckling, startade ett Code RED-bidrag i torsdags. Det belönar forskare som rapporterar brister. Det ersätter även utgifter för artificiell intelligens (AI) som användes i arbetet.
Samtidigt låg Bitcoinpriset nära 64 396 USD på torsdagen, upp 0,5 % de senaste 24 timmarna. Granskningen har inte påverkat marknaden.
Det är ändå viktigt att förstå sammanhanget för siffran. Det är upptäckter, inte bekräftade angrepp, och de flesta används aldrig.
Hittills visar bevisen att Coldcard inte var ett enskilt misslyckande. Uppgifterna tyder också på att nästa problem inte gäller en hårdvaruplånbok.
