Bitcoin : Une red team IA révèle 85 failles critiques

En 27 heures, 16 développeurs ont signalé 4 962 problèmes dans 390 projets liés à Bitcoin, dont 85 failles critiques et 635 de gravité élevée. Seize développeurs ont piloté l’audit avec des modèles d’IA et environ 10 000 dollars de calcul par jour, mais le volume révèle surtout un problème de tri. La priorité consiste désormais à traiter les bugs avant les attaquants.

Une red team Bitcoin signale une faille critique presque chaque heure

Le 4 août, Calle, le développeur pseudonyme associé au protocole Cashu, lançait une vague de revues offensives, une démarche de red teaming qui teste le code comme le ferait un attaquant. 

Selon Calle, l’équipe examinait les bibliothèques crypto, les wallets et les infrastructures Bitcoin à un rythme d’environ une exploitation critique par heure et par personne, tandis qu’il décrivait la situation comme « extrêmement mauvaise ». Après les turbulences récentes du réseau Bitcoin, cette campagne apparaît comme un audit de l’écosystème, pas comme la recherche d’un seul défaut.

Le 5 août, le groupe comptait 16 membres répartis dans le monde et travaillait 24 heures sur 24. Son bilan publié sur X indiquait qu’après 27,5 heures, l’équipe avait ouvert 4 962 signalements sur 390 projets, dont 85 critiques et 635 de gravité élevée.

Le volume impressionne, mais il faut lire ces chiffres avec prudence. Un signalement ne vaut pas encore une exploitation confirmée. CoinDesk rapporte que les responsables des projets avaient rapidement vérifié la plupart des rapports critiques et les avaient reproduits dans un environnement local avec une preuve de concept.

Le vrai goulot d’étranglement commence après la découverte

Le problème principal n’est déjà plus la détection, mais le tri, la vérification et l’envoi des rapports aux bons mainteneurs. Rob Hamilton, qui construit l’installation automatisée du groupe, a résumé cette difficulté : le véritable goulot d’étranglement consiste à orienter chaque alerte vers la bonne équipe.

Le plus difficile consiste à coordonner l’envoi des signalements vers les bonnes personnes.

Cette étape compte autant que le scan lui-même. Une équipe de sécurité doit distinguer un bug réel d’un faux positif, établir un scénario reproductible, vérifier l’impact, puis donner au mainteneur assez d’éléments pour corriger sans perdre de temps.

Le groupe dit publier vite parce que les responsables peuvent tester les signalements avec les mêmes outils. Cependant, cette vitesse accroît aussi la charge de réception et impose une hiérarchisation stricte.

Dans les deux cas, l’IA élargit la couverture du code, mais elle ne remplace pas le jugement. Le rapport utile n’est pas celui qui semble alarmant, c’est celui qu’un mainteneur peut reproduire et traiter.

Le risque dépasse Bitcoin quand l’IA accélère aussi les attaquants

L’outil qui élargit la défense peut aussi réduire le coût de la recherche offensive. CoinDesk rappelle qu’Anthropic avait trouvé pour moins de 50 dollars une faille que personne n’avait détectée pendant 27 ans dans un logiciel largement utilisé, tandis que Google disait avoir repéré un groupe criminel préparant une attaque autour d’une faille qu’un modèle avait trouvée.

Le groupe Bitcoin Red Team brûle environ 10 000 dollars par jour pour maintenir cette cadence. Ce montant ne mesure pas le coût d’une attaque réelle, mais il montre que la puissance de calcul et le tri humain forment désormais un poste budgétaire concret pour la défense des infrastructures crypto.

Le précédent Coldcard rend le risque tangible. Les vols commencés le 30 juillet ont pris jusqu’à 114 millions de dollars à des wallets dont les seeds provenaient d’un firmware défaillant, selon CoinDesk. L’affaire rappelle qu’un bug peut rester exploitable longtemps après sa découverte, surtout lorsque les utilisateurs ne savent pas qu’ils doivent migrer leurs fonds.

En somme, le Bitcoin Red Team met en évidence trois faits : les modèles d’IA repèrent des failles à grande vitesse, les mainteneurs doivent absorber et qualifier une avalanche de rapports, et les attaquants peuvent employer les mêmes méthodes. Le suivi des pertes liées au piratage Coldcard rappelle que les utilisateurs restent exposés après qu’une équipe a corrigé une faille, tant qu’ils n’ont pas migré leurs fonds. Cette campagne ne prouve pas que Bitcoin est compromis, mais elle montre que sa sécurité se joue désormais à un rythme industriel. Le triage fera la différence.