Seize développeurs bénévoles, armés de quatre modèles d’intelligence artificielle, ont passé au crible environ 400 projets Bitcoin en vingt-quatre heures et exhumé quelque 5 000 vulnérabilités, dont 85 jugées critiques. L’initiative, baptisée Bitcoin Red Team, a dépensé près de 40 000 dollars en jetons IA la semaine dernière pour bâtir ce qui ressemble à l’audit de sécurité le plus massif jamais conduit sur l’infrastructure open-source du réseau.
En vidéo, le résumé de l’audit à grande échelle mené par la Bitcoin Red Team : 390 projets scrutés en 27,5 heures avec l’IA, 85 failles critiques identifiées.
Le principe d’une red team est ancien dans la cybersécurité, il consiste à simuler le comportement d’un attaquant pour identifier les brèches avant qu’un adversaire réel ne s’y engouffre. La nouveauté tient ici à l’échelle et à la cadence. Le développeur pseudonyme Calle, figure centrale du projet, a résumé la productivité de la machine avec une formule sèche : « En moyenne, environ un exploit critique par heure et par personne. » Le groupe a mobilisé Kimi K3 (modèle open-weight de Moonshot, développé en Chine), GPT Sol d’OpenAI, Claude Fable et Opus d’Anthropic, ainsi que GLM 5.2 de Z.ai pour scanner les dépôts, identifier les failles et générer automatiquement la documentation associée. Rob Hamilton, CEO d’AnchorWatch, a confirmé sur X que l’équipe travaillait sans relâche, « 24h/24, avec environ 20 000 dollars de dépenses » au moment de sa déclaration, un chiffre qui a depuis doublé.
La plupart des vulnérabilités découvertes ont déjà été vérifiées par les propriétaires des projets concernés, et la situation a été décrite par les participants eux-mêmes comme « extrêmement mauvaise ». Le financement provient d’OpenSats, organisation à but non lucratif dédiée au soutien des développeurs Bitcoin, ce qui ancre l’opération dans une logique communautaire plutôt que commerciale. Calle a estimé la facture quotidienne de calcul à 10 000 dollars, un montant qui, paradoxalement, constitue aussi une forme de protection : « Heureusement, c’est un exercice très coûteux », a-t-il ajouté, suggérant que le coût d’entrée freine encore les attaquants disposant de moyens limités.
A lire également
Le calendrier de cette initiative coïncide, et ce n’est sans doute pas un hasard, avec une séquence noire pour la sécurité Bitcoin. Le processeur de paiement open-source BTCPay Server a exhorté ses utilisateurs à mettre à jour immédiatement vers la version 2.4.2, après confirmation qu’une vulnérabilité était activement exploitée. Des attaquants ont accédé au nœud Lightning Network Daemon (LND) de certaines instances, et des fonds ont été volés. Francis Pouliot, CEO de Bull Bitcoin, n’a pas mâché ses mots : « Ce n’est pas un exercice. Dites à tous ceux qui font tourner BTCPay de l’éteindre maintenant. » La semaine précédente, le hardware wallet Coldcard avait subi un drain d’environ 2 000 bitcoins (soit quelque 100 millions de dollars) répartis sur plus de 5 200 adresses, poussant les développeurs à émettre un avis de migration urgent. Le portefeuille du pirate détenait encore 36 millions de dollars, accompagné de messages inscrits en OP_RETURN sur la blockchain, dont un laconique « I clean btc » proposant visiblement du blanchiment.
L’IA ne se contente plus d’assister les développeurs dans l’écriture de code… elle les devance désormais dans la traque des erreurs. Plus tôt cette année, des chercheurs utilisant Claude Opus 4.8 avaient mis au jour une faille vieille de quatre ans dans Zcash, permettant théoriquement de créer une quantité illimitée de ZEC contrefait. Le bridge Boltz, de son côté, a dû suspendre son service après que des attaquants exploitant l’IA ont identifié des vulnérabilités plus rapidement que l’équipe technique ne parvenait à déployer des correctifs. La course entre attaque et défense, qui a toujours structuré la cybersécurité, vient de changer de tempo.
Dan Held, figure connue de la communauté Bitcoin, a qualifié la convergence des exploits BTCPay Server et Coldcard de « 9/11 du bitcoin maxi puritain ». La formule est excessive, elle dit pourtant quelque chose de la secousse psychologique traversée par un écosystème qui s’est longtemps pensé comme le plus robuste de l’industrie crypto. Les analystes de 10X Research, par la voix de Markus Thielen, attribuent en partie la faiblesse récente du cours aux retombées de l’exploit Coldcard et aux flux entrants sur les exchanges.
Reste une question que la Bitcoin Red Team pose sans y répondre tout à fait : si seize bénévoles équipés de modèles accessibles au public peuvent extraire 85 failles critiques en une journée, combien d’acteurs malveillants, disposant de budgets comparables (du moins en puissance de calcul), ont déjà fait le même travail dans l’ombre ?
