Cosa è successo esattamente?
Bitcoin Core, l'implementazione software più diffusa della rete Bitcoin, secondo le concordanti notizie di Decrypt, CoinDesk e Cointelegraph ha modificato la propria politica di sicurezza. D'ora in poi, per le vulnerabilità classificate come "facilmente individuabili" (easily discoverable), gli sviluppatori integreranno immediatamente le correzioni (il cosiddetto backport) e rilasceranno nuove versioni, invece di tenerle sotto un lungo embargo.
L'embargo è il periodo durante il quale le informazioni su un bug restano riservate, affinché gli attaccanti non ricevano istruzioni prima che gli utenti siano protetti. Questa logica funziona solo se il bug è difficile da scoprire. Secondo CoinDesk e Cointelegraph, Bitcoin Core sostiene che per una parte dei bug la segretezza non offre più una grande protezione.
Perché gli sviluppatori lo fanno proprio adesso?
Il fattore scatenante principale è l'arrivo di strumenti AI capaci di cercare bug nel codice. Secondo CoinDesk, durante l'estate l'AI ha individuato centinaia di bug di Bitcoin prima degli esseri umani. Decrypt descrive così il nocciolo del problema: se un attaccante riesce a riscoprire un bug con un singolo prompt a un chatbot, allora una lunga segretezza non fa altro che prolungare il periodo in cui gli utenti sono vulnerabili, senza aiutarli realmente.
In altre parole, il vantaggio che prima avevano i difensori (ovvero che il bug fosse "nascosto") si riduce con gli strumenti AI. Quando individuare un bug diventa banale per chiunque abbia accesso a un modello, il rilascio rapido di una correzione è più sicuro dell'attesa.
Cosa significa esattamente "facilmente individuabile"?
Qui bisogna essere precisi. Le fonti descrivono il nuovo approccio per i bug classificati come facilmente individuabili, per i quali si presume che un attaccante sia in grado di ritrovarli con il minimo sforzo. Come esattamente Bitcoin Core collocherà i singoli bug in questa categoria e chi lo decide non emerge in modo univoco dalle fonti disponibili. Questo per ora resta poco chiaro.
Allo stesso modo, dalle fonti citate non è chiaro se cambi la procedura per le vulnerabilità più complesse, che l'AI al momento non individua comunemente. Per queste, la divulgazione coordinata e l'embargo possono continuare ad avere senso.
Come si inserisce nel quadro più ampio della sicurezza?
Il contesto più ampio dell'anno è teso. The Block, nello stesso periodo, ha riferito che la rete Initia ha sospeso l'operatività dopo un incidente di sicurezza, con l'attaccante che avrebbe coniato token e i dati on-chain che hanno mostrato un trasferimento di ether per un valore di circa 2,7 milioni di dollari. Si tratta di un progetto diverso e di un tipo di incidente diverso rispetto al cambio di politica di Bitcoin Core, ma illustra l'ambiente in cui si decide la rapidità di risposta alle vulnerabilità.
Attenzione alla causalità: nulla nelle fonti collega direttamente l'incidente di Initia al cambio di regole di Bitcoin Core. Sono due eventi distinti della stessa settimana.
Cosa continuare a seguire in questo tipo di cambiamenti
- Come funzionerà in pratica la classificazione dei bug "facilmente individuabili" e con quanta trasparenza gli sviluppatori la renderanno pubblica.
- Se un rilascio più rapido delle correzioni porterà ad aggiornamenti più frequenti dei nodi e come reagiranno gli operatori.
- Se altri grandi progetti (non solo quelli legati a Bitcoin) modificheranno le proprie politiche di divulgazione in una direzione simile a causa dell'AI.
Charliedesk non fornisce raccomandazioni su cosa fare con alcun asset. Questa è una descrizione di ciò che è accaduto e del perché, secondo le fonti, gli sviluppatori lo hanno fatto.