Il Bitcoin Red Team, un gruppo di volontari guidato dallo sviluppatore Calle e da Rob Hamilton, CEO della societa’ di assicurazione per l’autocustodia Anchorwatch, ha usato modelli di intelligenza artificiale per controllare 390 repository open source dell’ecosistema Bitcoin, individuando 4.962 segnalazioni di sicurezza in 27,5 ore, di cui 85 critiche. L’iniziativa e’ nata dopo l’exploit sui portafogli hardware Coldcard, che a fine luglio 2026 ha sottratto oltre 100 milioni di dollari in Bitcoin per un bug nel generatore di numeri casuali (RNG). Lo ha reso noto lo stesso Calle in un aggiornamento pubblico datato 5 agosto 2026.
Chi e’ il Bitcoin Red Team e Perche’ e’ Nato Ora
Il Bitcoin Red Team ha raccolto oltre 40.000$ in token AI da OpenSats, organizzazione no-profit 501(c)(3) dedicata a progetti open source Bitcoin, per finanziare l’audit lanciato dopo l’ondata di furti dai Coldcard MK3 e MK4 di fine luglio 2026. Il gruppo non e’ un’organizzazione formale ma un’iniziativa coordinata da due persone: Calle, ingegnere software e creatore della versione Android dell’app di messaggistica Bitchat, e Rob Hamilton, CEO della societa’ di assicurazione per l’autocustodia Anchorwatch — soprannominati scherzosamente “CEO e CTO di Bitcoin” nei meme circolati sui social.
BitcoinLive24 ha seguito le fasi principali dell’ondata di furti Coldcard, incluso il dibattito sul multisig rilanciato dal CTO di Ledger. Con quel budget, i due hanno messo insieme un gruppo di sviluppatori per sottoporre il codice open source di Bitcoin a un controllo intensivo con l’aiuto dell’AI.
I Numeri dell’Audit: 4.962 Segnalazioni in 390 Repository
“27,5 ore dopo l’inizio, abbiamo depositato 4.962 segnalazioni su 390 progetti. 85 critiche e 635 ad alta severita’. Siamo a 2,31 segnalazioni critiche+alte per persona all’ora”, ha scritto Calle in un aggiornamento pubblicato su X il 5 agosto 2026. Il ritmo descritto da Calle da’ la misura della scala dell’operazione, condotta da un gruppo relativamente piccolo di volontari con il supporto di modelli AI invece che da un singolo team di sicurezza tradizionale.
Alla base del lavoro c’e’ un harness (un’infrastruttura software su misura) costruito appositamente per identificare librerie critiche e codice ad alto impatto, riprodurre le vulnerabilita’ trovate e trasformarle in report utilizzabili dagli sviluppatori. Secondo quanto riportato da Bitcoin Magazine, l’harness conta 171.599 righe di codice e il Red Team intende renderlo open source, cosi’ che anche le aziende con codice proprietario possano testarlo autonomamente.
I Modelli AI Usati e il Ruolo di OpenSats
Il Red Team ha impiegato piu’ modelli linguistici in parallelo: Kimi K3, GPT Sol, Fable, Opus e GLM5.2. Nelle fasi iniziali l’accesso ai modelli di OpenAI e Anthropic era limitato, spingendo il gruppo a fare maggiore affidamento su modelli open-source cinesi — una circostanza che diversi osservatori dell’industria hanno letto come un segnale critico sulla competitivita’ dei laboratori AI statunitensi. Con la crescita di visibilita’ del progetto dopo l’hack Coldcard, il Red Team ha poi ottenuto accesso confermato a GPT Sol di OpenAI, mentre il riferimento di Hamilton a Fable in un tweet del 4 agosto suggerisce l’apertura di un canale anche con Anthropic.
Il finanziamento di OpenSats resta il singolo elemento che ha reso possibile la scala dell’operazione: senza un budget dedicato ai token AI, un audit di questa ampiezza su 390 repository sarebbe stato fuori portata per un gruppo di volontari.
La Stessa AI Usata per Difendere e per Attaccare
La tempistica dell’iniziativa non e’ casuale: il 4 agosto 2026, pochi giorni prima, l’exchange di swap Boltz aveva sospeso temporaneamente le operazioni perche’, come riportato da BitcoinLive24, l’intelligenza artificiale starebbe accelerando anche il lato offensivo degli attacchi contro l’infrastruttura Bitcoin. Il Bitcoin Red Team nasce quindi come risposta simmetrica: usare la stessa categoria di strumenti — modelli AI applicati alla ricerca di vulnerabilita’ — per anticipare gli attaccanti invece di rincorrerli.
Hamilton ha definito il bug RNG sfruttato su Coldcard un “attacco spirituale” all’ethos dell’autocustodia Bitcoin, chiudendo il suo aggiornamento con un messaggio di continuita’: per il Red Team, l’autocustodia resta un principio non negoziabile della rete, a prescindere dai rischi emersi con l’ultimo exploit.
| Metrica | Valore |
|---|---|
| Repository open source auditati | 390 |
| Segnalazioni totali | 4.962 |
| Segnalazioni critiche | 85 |
| Segnalazioni ad alta severita’ | 635 |
| Velocita’ rilevata | 2,31 critiche+alte per persona/ora |
| Tempo impiegato | 27,5 ore |
| Budget in token AI | oltre 40.000$ (OpenSats) |
| Righe di codice dell’harness | 171.599 |
Cosa Cambia per Sviluppatori e Utenti Bitcoin
I 390 repository coinvolti nell’audit ricevono ora segnalazioni dirette da Hamilton o Calle — scambi diventati oggetto di ironia sui social per il tono improvviso con cui arrivano i messaggi, secondo quanto descritto da Bitcoin Magazine. Il Red Team sta contattando attivamente i progetti con vulnerabilita’ critiche per una divulgazione responsabile, prima che i dettagli tecnici diventino pubblici.
Per chi usa Bitcoin, la ricaduta e’ indiretta ma concreta: un audit di questa scala su librerie ad alto impatto puo’ prevenire un secondo caso Coldcard prima che si materializzi. Al momento della stesura Bitcoin viene scambiato intorno ai 64.576$ (+0,84% nelle 24 ore secondo CoinGecko), senza reazioni di prezzo riconducibili alla notizia: il mercato tratta l’iniziativa come una questione di sicurezza infrastrutturale, non come un catalizzatore di breve termine.
Conclusioni
Il Bitcoin Red Team mostra come l’ecosistema stia rispondendo all’exploit Coldcard non solo con patch puntuali, ma con un cambio di scala nel modo in cui il codice open source viene controllato. Con l’harness destinato a diventare open source, l’esperimento di Calle e Hamilton potrebbe trasformarsi da risposta di emergenza a pratica ricorrente di sicurezza per l’intera industria Bitcoin.
Domande Frequenti
Cos’e’ il Bitcoin Red Team?
E’ un’iniziativa informale guidata dallo sviluppatore Calle e da Rob Hamilton (CEO di Anchorwatch) che usa modelli di intelligenza artificiale per individuare vulnerabilita’ nel codice open source di Bitcoin, nata dopo l’exploit sui portafogli Coldcard.
Quante vulnerabilita’ ha trovato l’audit?
In 27,5 ore il Red Team ha depositato 4.962 segnalazioni su 390 repository, di cui 85 classificate come critiche e 635 ad alta severita’, secondo l’aggiornamento pubblicato da Calle su X il 5 agosto 2026.
Chi finanzia il Bitcoin Red Team?
Le spese, oltre 40.000$ in token per i modelli AI utilizzati, sono coperte da OpenSats, organizzazione no-profit statunitense che finanzia progetti open source legati a Bitcoin.
Il Bitcoin Red Team ha un sito o un repository pubblico?
Al momento della stesura no: il gruppo non ha ancora un sito ufficiale ne’ un repository GitHub pubblico, ma ha dichiarato l’intenzione di rendere open source l’harness usato per gli audit.
Per restare aggiornato sulla sicurezza di Bitcoin, scarica l’app di BitcoinLive24.
