Политика безопасности Bitcoin Core: ИИ-баги без эмбарго

Политика безопасности Bitcoin Core изменилась 23 октября: разработчики больше не будут месяцами держать в секрете баги, которые нейросеть находит одним промптом. Для таких уязвимостей исправление выпустят как можно быстрее во всех поддерживаемых версиях и сразу опубликуют бюллетень безопасности.

Что произошло

Bitcoin Core — это программа, на которой работает большая часть узлов сети биткоина. Раньше команда оценивала каждый найденный баг по степени опасности и подстраивала под неё сроки раскрытия. Логика была простой: тихо выпустить исправление, а объяснить подробности сильно позже, когда большинство операторов узлов уже обновится. Как пишет CoinDesk, для средних и серьёзных багов такое эмбарго могло длиться около года.

Проблема в том, что эта схема строилась для мира, где найти баг было трудно. Пуансо прямо написал в предложении, что число отчётов об уязвимостях, которые легко найти или найти повторно, заметно выросло. По его словам, причина в том, что языковые модели резко снизили порог входа: они находят целые классы ошибок и вычисляют тихие исправления в коде.

«Для проблем, которые легко найти, это неправильный компромисс. Период эмбарго почти ничего не даёт, а только задерживает выход исправленного релиза», — из обновлённой политики Bitcoin Core.

Как работает новая политика безопасности Bitcoin Core

На этапе разбора отчёта команда теперь может пометить баг как легко обнаруживаемый. Для такого бага исправление переносят во все поддерживаемые версии и выпускают отдельным патч-релизом «как можно скорее». Вместе с ним публикуют бюллетень безопасности с частью деталей. По данным Cointelegraph, Пуансо сообщил об этом в рассылке Bitcoin Development Mailing List. Критические баги стандартной политикой вообще не покрываются: для них, скорее всего, понадобится отдельная процедура.

У решения есть цена, и разработчики её не скрывают. Исправления будут меньше «отлёживаться» в тестах перед тем, как дойти до пользователей. Не все были согласны и с деталями. Давний исследователь безопасности биткоина Антуан Риар хотел оставить возможность выпускать фикс без бюллетеня и придерживать подробности. Пуансо отказался: предупреждение об уязвимости без деталей, по его словам, может спровоцировать спешную миграцию тех, кого баг вообще не касается.

Откуда такая спешка

Лето 2026 года показало, как ИИ меняет безопасность вокруг биткоина. Волонтёрская группа из 16 разработчиков Bitcoin Red Team в конце июля примерно за сутки прогнала ИИ-модели по 390 проектам экосистемы. Итог — 4 962 потенциальных находки, 85 из них критические. Cointelegraph уточняет, что к августу воспроизвести удалось лишь около пятой части.

Дальше пошли реальные последствия. По данным CoinDesk, уязвимость в BTCPay Server, о которой группа сообщила приватно, в течение нескольких дней начали эксплуатировать на живых серверах мерчантов, и атаки опустошали их Lightning-узлы. Команда Core Lightning после ИИ-отчётов, которые оказались настоящими, просила операторов отключиться или обновиться. А самая крупная потеря обошлась без всякого ИИ: баг в прошивке Coldcard, дремавший с 2021 года, 30 июля позволил за 25 минут вывести 594 BTC. Общие потери за четыре волны вывода приблизились к $114 млн.

Волна ИИ-находок идёт не только в биткоине: недавно мы писали, как критическая уязвимость PHP угрожала криптобиржам и обменникам. А в XRP Ledger ИИ нашёл баг, через который можно было напечатать 18 трлн XRP.

Что это значит для тебя

Если ты просто держишь биткоин на бирже, напрямую тебя это не касается. Если же у тебя свой узел, Lightning-нода или сервис на Bitcoin Core, готовься к более частым внеплановым патч-релизам. Новые правила меняют ритм: важные фиксы будут выходить быстрее и сопровождаться бюллетенем, а значит, детали станут публичными почти сразу. Тянуть с обновлением в такой ситуации опаснее, чем раньше: злоумышленник прочитает тот же бюллетень, что и ты.

Хорошая новость в том, что команда выбирает прозрачность вместо иллюзии секретности. Как резюмирует CoinDesk, по новым правилам пока не помечен ни один баг. Но секрет, который любая модель восстановит одним запросом, всё равно долго не продержался бы.

Что делать

Подпишись на бюллетени безопасности Bitcoin Core и рассылку разработчиков, если держишь узел.
Не откладывай патч-релизы: окно между публикацией и атакой будет коротким.
Если пользуешься сторонним софтом вроде BTCPay или Lightning-реализаций, следи и за их обновлениями отдельно.

FAQ

Что такое «легко обнаруживаемая» уязвимость? Баг, который, по формулировке Bitcoin Core, можно найти простым запросом к языковой модели. Для таких багов эмбарго больше не действует.

Что изменила политика безопасности Bitcoin Core для остальных багов? Ничего: низкий риск раскрывают через две недели после мажорного релиза, средний и высокий — через две недели после окончания поддержки последней уязвимой версии.

Есть ли минусы? Да. Исправления будут проходить меньше тестов перед выходом, это признаёт сам автор изменения.

Нужно ли что-то делать обычному держателю BTC? Если у тебя нет своего узла, достаточно вовремя обновлять кошелёк, которым пользуешься.

Итог: политика безопасности Bitcoin Core теперь исходит из того, что ИИ находит часть багов быстрее людей. Скрывать такие дыры бессмысленно, поэтому их будут закрывать сразу и публично.

#Bitcoin Core #ИИ #безопасность #биткоин #уязвимости

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.