BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Пока одни следят за курс биткоина и пытаются угадать, когда цена пробьет очередной психологический уровень, разработчики и исследователи безопасности бьются над куда менее заметной, но гораздо более опасной проблемой. Bitcoin Core только что изменил свою политику раскрытия уязвимостей, потому что искусственный интеллект научился находить критические баги по одному текстовому запросу. Об этом в свежем выпуске подкаста Bitcoin Magazine рассказал известный эксперт по безопасности биткоина Джеймсон Лопп, сооснователь компании Casa.
Почему курс биткоина перестал быть главным риском для держателей
Разговоры о цене биткоина и курс биткоина к доллару всегда собирают больше внимания, чем новости о коде. Но Лопп напоминает простую вещь: сколько бы ни стоила монета, ее реальная ценность держится только на том, насколько надежна криптографическая и программная инфраструктура сети. Стоимость одного биткоина может исчисляться десятками тысяч долларов, но если приватный ключ скомпрометирован или в коде ноды найдена критическая дыра, рыночная цена в этот момент значения не имеет. Именно поэтому Лопп считает, что индустрии пора перестать воспринимать безопасность как второстепенную тему рядом с графиками роста биткоина.
Bitcoin Core меняет правила: ИИ находит критические баги по одному запросу
Поводом для смены политики стало осознание того, насколько быстро нейросети начали выявлять уязвимости в открытом коде. Раньше для обнаружения серьезной проблемы в реализации протокола могли уходить месяцы работы квалифицированных аудиторов. Сейчас языковые модели способны прочесать репозиторий и указать на потенциальную дыру буквально за один сеанс. Это заставило команду Bitcoin Core пересмотреть сроки и порядок раскрытия информации о найденных багах, потому что прежние процедуры рассчитывались на неспешный темп человеческого анализа, а не на скорость машинного поиска.
Похожая проблема уже обсуждалась и в других частях крипто-инфраструктуры. Например, в истории с уязвимостью в кошельке Electrum разработчикам тоже пришлось экстренно закрывать дыру, через которую средства могли утекать злоумышленникам из-за подмены транзакций. Современная угроза в том, что подобные находки теперь случаются не раз в год, а практически непрерывно.
PHP-уязвимость, которая напугала индустрию меньше, чем ожидалось
Отдельный блок беседы Лопп посвятил конкретному случаю: уязвимости удаленного выполнения кода (RCE) в PHP. Она теоретически могла затронуть огромное количество веб-серверов, на которых строится значительная часть интернет-инфраструктуры, включая криптовалютные сервисы. Но по факту ущерб оказался меньше, чем опасались специалисты. Лопп объясняет это тем, что сообщество успело среагировать быстрее обычного именно из-за растущего давления со стороны ИИ-инструментов поиска багов - команды безопасности уже привыкли работать в режиме повышенной готовности.
Исследователи безопасности в последнее время толком не могли отдохнуть.
Эта фраза Лоппа точно описывает состояние индустрии последние два с половиной месяца. Темп обнаружения новых уязвимостей, по его словам, растет экспоненциально, и это далеко не единичный всплеск.
Экспоненциальный рост: охота за багами ушла в режим 24/7
Ключевой тезис Лоппа в том, что злоумышленники раньше всех остальных начали массово применять "расцензуренные" версии больших языковых моделей, лишенные этических ограничений. Пока легальные исследователи безопасности спорили о регламентах использования ИИ в аудитах, атакующие уже вовсю эксплуатировали нейросети для автоматического поиска слабых мест в коде криптовалютных проектов. В результате скорость обнаружения уязвимостей выросла настолько, что классические ежегодные аудиты попросту перестали успевать за реальностью. Рост биткоина как актива только увеличивает ставки: чем выше капитализация сети, тем привлекательнее цель для атаки, и неважно, какую именно цену биткоина к доллару показывают биржевые графики в данный момент.
Квантовая угроза: 30 процентов адресов уже под прицелом
Отдельная большая часть разговора посвящена квантовым вычислениям. Лопп напоминает про оценку Google, согласно которой для взлома современной криптографии потребуется порядка 500 000 физических кубитов, и объясняет разницу между физическими и логическими кубитами - именно логические, то есть по-настоящему стабильные и пригодные к расчетам единицы, остаются узким местом технологии. Пока ни у одной компании нет квантового компьютера, способного оперировать более чем несколькими сотнями полезных кубитов, так что говорить о скором крахе биткоина из-за квантовых вычислений преждевременно.
Тем не менее Лопп подчеркивает: если у индустрии остается меньше десятилетия на подготовку, значит, она уже отстает от графика. Особую тревогу вызывает статистика, по которой около 30% адресов в сети хранят монеты с уже раскрытым публичным ключом - это старые адреса формата P2PK или кошельки, где ключ однажды засветился при повторном использовании адреса. Именно эти кошельки станут первой целью атакующих, если квантовые вычисления когда-нибудь станут практически применимы против эллиптической криптографии. Переход на пост-квантовую защиту потребует консенсусного обновления протокола вроде того, что в свое время прошел Taproot, а тестирование новой, пока не обкатанной криптографии займет годы, а не месяцы.
От ежегодного аудита к безопасности в реальном времени
Главный практический вывод Лоппа простой: безопасность криптовалюта биткоин больше не может строиться на модели "раз в год пригласили аудиторов, получили отчет, успокоились". Проверки должны быть встроены прямо в конвейер разработки и срабатывать при каждом коммите кода, а не раз в двенадцать месяцев. Это особенно важно для институциональных игроков, которые хранят крупные суммы в цифровых активах. Кстати, похожие вопросы о надежном хранении уже поднимает и регулятор - недавно SEC задумалась над тем, как фонды должны хранить крипту, и там обсуждаются почти те же проблемы контроля за ключами и инфраструктурой, о которых говорит Лопп применительно к разработке биткоина.
Стоимость биткоина на сегодня формируется рынком, но устойчивость сети формируется именно такими скучными, рутинными процессами контроля качества кода. Сложность добычи биткоина продолжает расти вслед за хэшрейтом, но даже самая высокая сложность майнинга не защитит сеть, если в клиентском софте найдется незамеченная дыра.
Физическое насилие ради монет: wrench-атаки бьют рекорды
Не все угрозы цифровые. Лопп отдельно напоминает, что часть оборудования, например аппаратные кошельки старых поколений, просто невозможно пропатчить постфактум - если в чипе есть изъян, он остается навсегда. А параллельно с ростом программных атак растет и число так называемых wrench-атак - физического принуждения владельцев криптовалюты к передаче средств под угрозой насилия. По словам Лоппа, число подобных инцидентов уже превысило 700 задокументированных случаев по всему миру. Курс биткоина растет - растет вместе с ним и соблазн завладеть чужими монетами силой, а не взломом.
Для обычного держателя вывод из всего этого достаточно приземленный. Курс биткоина будет расти и падать независимо от того, что происходит в лабораториях по кибербезопасности, но сохранность конкретно ваших монет зависит не от цены на бирже, а от того, насколько грамотно вы храните ключи, обновляете софт кошелька и следите за новостями об уязвимостях. Это касается и держателей монет на биржах, где регулярно меняются правила работы с инструментами - вроде недавнего случая, когда Binance Margin удалил сразу 10 торговых пар и пользователям пришлось срочно закрывать позиции. Инфраструктура меняется быстро, и скорость реакции пользователя становится не менее важным навыком, чем умение читать графики.
