Bitcoin Core verhelpt drie door AI ontdekte kwetsbaarheden

Bitcoin Core maakte op 28 oktober drie beveiligingslekken bekend, nadat oplossingen waren uitgebracht in versies 29.5, 30.4, 31.2 en 32.1. Project Loupe, een geautomatiseerde scanner onder leiding van Elias Rohrer van Spiral, ontdekte de fouten met behulp van AI-ondersteunde codescans; ontwikkelaar Gregory Sanders verifieerde ze. Het gebruikte AI-model werd niet bekendgemaakt. Twee fouten kregen de classificatie middelzwaar. Eén ervan zou een kwaadwillende peer in staat kunnen stellen nodes met Windows, macOS of BSD te laten crashen; Linux-nodes zijn niet getroffen. Een andere fout zou het geheugengebruik geleidelijk kunnen verhogen met maximaal 2 MB per uur per inkomende peer of 5 MB per uur per uitgaande peer. Een derde, laag ingeschaalde fout kan onder bepaalde omstandigheden blockchain-undo-bestanden beschadigen en een node uitschakelen; het praktische risico is groter op Windows en 32-bitsystemen. In het eerdere advies werden ook beperkingen genoemd voor 32-bitsystemen en FAT32-schijven. De adviezen vermeldden niet of een van de fouten was misbruikt. Er is niet gemeld dat de bugs diefstal van bitcoin mogelijk maakten, maar een niet-gepatchte node kan de validatie of doorgifte van transacties verstoren. Het bijgewerkte beleid van Bitcoin Core voor het openbaar maken van kwetsbaarheden staat toe om kwetsbaarheden die gemakkelijk opnieuw te ontdekken zijn snel te publiceren, waaronder kwetsbaarheden die met een eenvoudige prompt voor een groot taalmodel (LLM) kunnen worden opgespoord. Het project is van plan over ongeveer twee weken nog drie kwetsbaarheden met een middelzware of hoge ernst bekend te maken. Nodebeheerders en bedrijven moeten de officiële adviezen raadplegen en upgraden. De bekendmakingen roepen zorgen op over operationele beveiliging, maar wijzen niet op een directe verandering in het aanbod van bitcoin of de protocolregels.