Szesnastu programistów w niecałe trzydzieści godzin przeczesało kod Bitcoina i znalazło prawie pięć tysięcy potencjalnych luk bezpieczeństwa. Osiemdziesiąt pięć z nich zespół oznaczył jako krytyczne — teoretycznie pozwalają one wyprowadzić cudze środki bez żadnego błędu ze strony właściciela portfela.
Impulsem była afera z portfelami sprzętowymi Coldcard Mk3. Pod koniec lipca okazało się, że w oprogramowaniu układowym od 2021 roku drzemał błąd generatora liczb losowych: zamiast korzystać ze sprzętowego źródła entropii, urządzenie czasem sięgało po przewidywalny generator programowy. Atakujący, którzy odtworzyli osłabioną przestrzeń kluczy, wyprowadzili z takich portfeli ponad 100 mln dolarów — bez fizycznego dostępu do samego urządzenia.
To skłoniło grupę wolontariuszy działającą pod nazwą Bitcoin Red Team do działania. Na czele stanęli deweloper protokołu Cashu znany jako Calle oraz Rob Hamilton, szef firmy AnchorWatch. Zamiast ręcznego przeglądu linia po linii zespół skierował modele AI na 390 otwartoźródłowych repozytoriów — portfele, biblioteki kryptograficzne, kod infrastruktury — uzyskując średnio około 180 znalezisk na godzinę, czyli mniej więcej jeden krytyczny błąd na osobę na godzinę. Sam rachunek za obliczenia sięgał, jak twierdzą, 10 tys. dolarów dziennie.
Tempo miało jednak swoją cenę. W chwili publikacji potwierdzono i odtworzono zaledwie 21,4% zgłoszeń. To nie znaczy, że reszta jest fałszywa — część po prostu nie dotarła jeszcze do właściwego opiekuna projektu — ale nie znaczy też, że wszystkie 4962 wpisy to realne dziury w zabezpieczeniach. Calle napisał wprost: „sytuacja jest wyjątkowo zła", i przeprosił deweloperów za lawinę raportów. Zespół starał się najpierw zgłaszać krytyczne znaleziska prywatnie, ale skala okazała się na tyle duża, że część opiekunów fizycznie nie nadąża.
To namacalny dowód, że narzędzia AI potrafią znaleźć w starym kodzie to, co latami umykało ludzkim audytorom — błąd w Coldcard pozostawał niezauważony przez pięć lat. Ale ta sama szybkość stworzyła nowe wąskie gardło: to już nie wykrywanie luk jest wolne, tylko zdolność opiekunów projektów do ich weryfikacji.
