Los desarrolladores de Bitcoin Core cambiaron el jueves 22 de octubre sus normas de divulgación: los fallos que se pueden descubrir con un esfuerzo mínimo, como una sola petición a un modelo de IA, se corregirán sin el embargo habitual, según una solicitud de cambios en GitHub.
De acuerdo con la política de seguridad actualizada, los responsables del proyecto deciden durante la evaluación inicial si un fallo es fácil de descubrir. En esos casos, Bitcoin Core publicará cuanto antes una versión de mantenimiento con la corrección para cada versión principal con soporte, junto con un aviso de seguridad.
Para el resto de vulnerabilidades no cambia nada, según la política: los detalles se mantienen en secreto durante un tiempo, el llamado embargo. En función de la gravedad del fallo, se publican unas semanas o cerca de un año después de que salga la versión corregida.
Antoine Poinsot, desarrollador de Chaincode Labs y autor del cambio, escribió en la solicitud que el proyecto recibe cada vez más avisos de fallos que otros pueden volver a encontrar con facilidad. Lo atribuyó a los modelos de lenguaje: «Esto se debe en gran medida a que los LLM han rebajado drásticamente el listón para encontrar ciertas clases de problemas o identificar correcciones encubiertas».
Para este tipo de fallos, según Poinsot, el planteamiento anterior supone un mal equilibrio. «El periodo de embargo aporta poco, pero retrasa la disponibilidad de una versión corregida», escribió. También reconoció que los parches pasarán menos tiempo de prueba en las ramas de desarrollo antes de llegar a los usuarios.
El investigador de seguridad de bitcoin Antoine Riard quería que el proyecto pudiera, en algunos casos, publicar correcciones sin aviso y decidir caso por caso si revelar los detalles. Poinsot lo rechazó: alertar a los usuarios sin detalles, sostuvo, «podría crear más riesgo innecesariamente» y empujar a una actualización precipitada a quienes no están afectados.
Varios colaboradores del proyecto aprobaron el cambio antes de su incorporación, según la discusión en GitHub.
Según el recuento de los investigadores de Bitcoin Red Team, a finales de julio este grupo de 16 desarrolladores voluntarios revisó con modelos de IA 390 proyectos relacionados con bitcoin en aproximadamente un día y registró 4962 hallazgos, 85 de ellos críticos. Una vulnerabilidad de BTCPay Server que el grupo había comunicado en privado se usó después en ataques contra servidores de comercios.
En un caso distinto, el 30 de julio unos atacantes aprovecharon un fallo presente desde 2021 en el firmware de los monederos físicos Coldcard y retiraron 594 BTC en 25 minutos; las pérdidas en cuatro oleadas se acercaron a 114 millones de dólares.
