📡 Signal｜Bitcoin Red Team が27.5時間で390リポジトリを走査した——詰まったのは発見ではなく、報告先の連絡先だった

COLDCARD の乱数事故を受けて動き出した Bitcoin Red Team が、8月4日から5日にかけての27.5時間で390のリポジトリを走査し、4,962件の指摘を提出した。うち critical が85件、high が635件。AI を使った監査が速くなった話に見えるが、同じ時点の集計にもう一つ数字がある。開発者に連絡が取れていたプロジェクトは、19件だった。速くなったのは発見までで、直すまでの経路は速くなっていない。どこが詰まっているかを取り違えると、次に何を用意すべきかも読み違える。

■ 27.5時間で出た数字

走査対象は390リポジトリ。提出された指摘は4,962件で、内訳は critical 85件、high 635件。重大度が high 以上のものは720件にのぼる。

動いたのは世界各地に散らばる16人で、24時間体制だった。主導したのは開発者の Calle と、ビットコインの自己保管保険を手がける AnchorWatch の CEO ロブ・ハミルトン。AI の利用料として約4万ドルがかかり、これはオープンソース開発を支援する非営利団体 OpenSats が拠出している。

対象はビットコインの中核プロトコルそのものではない。利用者が実際に触る周辺のツールとアプリケーション群だ。発端は COLDCARD のファームウェアに5年近く残っていた乱数の不具合で、対象は 4.0.1 から 5.0.3 にあたる。被害の全体像は、いまも確定していない。

■ 詰まったのは、メールアドレスだった

720件の重大な指摘を抱えた27.5時間の時点で、実際に連絡が取れていたプロジェクトは19件。ハミルトンが挙げたこの対比が、この監査でいちばん重い数字だ。

理由は走査した側ではなく、走査された側にある。対象のうちセキュリティ報告の窓口を記した SECURITY.md を置いていたのは19.5%。セキュリティ用のメールアドレスを公開していたのは13.1%にとどまる。8割以上のプロジェクトには、脆弱性を見つけた人間が最初に叩くべき扉がない。

その後は人手で連絡先を探す作業が続いた。55時間の時点では走査が425プロジェクトへ伸び、連絡済みは約130件、実際に再現まで到達した指摘が約1,546件、全体の約22%になっている。数は伸びたが、伸ばしたのは自動化ではなく、人が一件ずつ当たった時間だ。

■ 「全部見る」が成り立つと、何が変わるか

これまで、コード監査は希少な資源だった。費用も時間もかかるため、資金を持つ最大手のプロジェクトに配分され、それ以外は「誰も見ていない」まま動き続ける。COLDCARD の不具合が5年生き延びたのも、誰にも発見できない高度な欠陥だったからではない。その層を継続的に見ている人がいなかったからだ。

その前提が、1日と4万ドルで崩れた。エコシステムをまるごと総ざらいすることが、単発の監査契約より安く済む水準に来ている。安いなら、対象を絞る理由がなくなる。

すると希少な資源が入れ替わる。足りないのは発見ではなく、指摘を受け取って裏を取り、直す人間の時間になる。連絡先の公開は事務手続きではなくインフラの一部になり、SECURITY.md の1ファイルが、修正が届くかどうかを決める。この構図はビットコインに限らない。維持者が少人数で、資金の裏づけが薄く、それでも資産を預かるコードを抱えている領域なら、どのチェーンのオープンソースにも同じ順序で来る。

■ 今後 48-72 時間

・走査に使ったハーネス（自動化の仕組み）を公開するという表明が、実際のコード公開まで進むか ・連絡済みプロジェクト数と再現済み件数が、走査件数の伸びに追いつくか ・critical 85件のうち、修正が公開された件数 ・誤検知の割合がどこに落ち着くか（現時点では8件が取り下げられている）

発見のコストは1日で崩れた。直すコストは、まだ人間の時間で測られている。

※ 本稿の数値は、Bitcoin Red Team 自身が公開する集計ページを直接参照できておらず、公式一次ソース未確認のまま、複数報道が一致して伝える値を採っている。

一次ソース

• Calle（Bitcoin Red Team・27.5時間時点の自己申告 = 16人・390プロジェクト・4,962件・critical 85 / high 635） https://x.com/callebtc/status/2085024458012586286
• Bitcoin Magazine（AI 利用料4万ドル超・OpenSats 拠出・ハーネス公開の意向・主導者2名） https://bitcoinmagazine.com/business/bitcoin-red-team-finds-85-critical-flaws-across-390-open-source-repos-after-coldcard-exploit
• Decrypt（重大度別内訳・high 以上720件・誤検知8件の取り下げ・再現率） https://decrypt.co/375029/bitcoin-ai-security-audit-files-4962-findings-across-390-projects
• TFTC（27.5時間時点の連絡先は19件 / SECURITY.md 19.5%・セキュリティ用メール13.1% / 55時間時点で425走査・約130連絡・約1,546再現） https://www.tftc.io/bitcoin-red-team-hit-the-outreach-wall
• TFTC（発端となった COLDCARD 乱数事故・対象ファームウェア 4.0.1〜5.0.3） https://www.tftc.io/bitcoin-red-team-85-critical-flaws-390-repos-coldcard
• CryptoBriefing（16人・約4万ドル・責任ある開示の手順・対象は中核プロトコルではない） https://cryptobriefing.com/bitcoin-red-team-audit-findings/