Un team di volontari chiamato Bitcoin Red Team ha individuato 4.962 segnalazioni di sicurezza in 390 progetti open source dell’ecosistema Bitcoin in appena 27 ore e mezza, tra il 4 e il 5 agosto 2026, secondo la ricostruzione di Bitcoin Magazine. L’iniziativa, nata come risposta diretta all’exploit RNG che ha svuotato i wallet Coldcard pochi giorni prima, è stata finanziata con quasi 40.000$ dalla non-profit OpenSats attraverso un nuovo “Red Team Fund” lanciato il 6 agosto 2026. Degli oltre 4.900 risultati, 85 sono stati classificati come critici e 635 come ad alta gravità — sempre secondo Bitcoin Magazine.
Un audit no-stop di 27 ore e mezza
Secondo la ricostruzione di Bitcoin Magazine, il gruppo ha lavorato senza interruzioni scansionando codice di wallet, librerie crittografiche e infrastruttura Lightning, con una media di circa 166 segnalazioni all’ora per l’intera durata della sessione. Un primo bilancio parziale, riportato da Decrypt quando l’iniziativa aveva coperto circa 150 repository, parlava già di “più di una dozzina” di vulnerabilità divulgate e di una spesa di circa 20.000$ maturata in pochi giorni.
I numeri della sessione
| Metrica | Valore |
|---|---|
| Progetti scansionati | 390 |
| Segnalazioni totali | 4.962 |
| Vulnerabilità critiche | 85 |
| Vulnerabilità ad alta gravità | 635 |
| Durata sessione | 27,5 ore |
| Ricercatori coinvolti | 16 persone + 3 agenti automatizzati |
| Quota trovata da automazione | 91% |
| Finanziamento OpenSats | ~40.000$ |
Chi c’è dietro il Bitcoin Red Team
Il gruppo è co-guidato dallo sviluppatore pseudonimo Calle e da Rob Hamilton, co-fondatore e CEO di AnchorWatch, società specializzata in custodia assicurata di Bitcoin. Il team, cresciuto a 16 ricercatori distribuiti globalmente, ha scelto la divulgazione responsabile (in gergo, responsible disclosure): ogni falla viene comunicata direttamente ai maintainer dei progetti coinvolti prima di qualsiasi pubblicazione pubblica dei dettagli tecnici, per evitare che un exploit venga sfruttato prima che sia disponibile una correzione.
Dietro il finanziamento c’è OpenSats, organizzazione no-profit statunitense registrata come 501(c)(3) che dal 2022 sostiene con donazioni deducibili dalle tasse lo sviluppo di software open source legato a Bitcoin — dai contributor del protocollo core ai progetti Lightning, passando per strumenti di privacy e, ora, per la sicurezza applicativa. Il Red Team Fund si inserisce in questo perimetro come corsia dedicata e a valutazione più rapida rispetto al normale processo di grant, proprio per rispondere in tempi brevi a un’emergenza come quella innescata dal caso Coldcard.
L’intelligenza artificiale al lavoro
Il tratto distintivo dell’operazione è la scala raggiunta grazie all’IA: secondo le fonti citate, il 91% delle segnalazioni è emerso da scansioni automatizzate, con un costo di calcolo stimato in circa 10.000$ al giorno. I ricercatori hanno messo al lavoro in parallelo più modelli linguistici, tra cui Kimi K3, GPT Sol di OpenAI, Claude (Fable e Opus) e GLM 5.2 di Z.ai, ciascuno impiegato per individuare pattern di codice vulnerabile su bersagli diversi: wallet, librerie crittografiche e infrastruttura di rete.
Dal bug Coldcard al Red Team Fund di OpenSats
L’innesco dell’intera operazione risale al furto RNG che ha colpito i wallet hardware Coldcard, un episodio che BitcoinLive24 ha seguito da vicino anche nell’analisi dei flussi ETF della settimana successiva. Non è un caso isolato: solo pochi giorni prima, un’altra falla RNG vecchia di dodici anni nella libreria CryptoJS aveva permesso il furto di 5,7 milioni di dollari, mentre una vulnerabilità distinta nel software di pagamento BTCPay Server aveva esposto le credenziali di nodi Lightning basati su LND. È in questo clima di scrutinio crescente sulla sicurezza del software Bitcoin che OpenSats ha deciso di aprire una corsia di finanziamento dedicata, pensata per pagare rapidamente i ricercatori che trovano e divulgano falle e per coprire i costi di calcolo dei modelli IA.
Cosa significa per chi usa Bitcoin
Per chi possiede o gestisce Bitcoin, la notizia va letta su due piani. Da un lato, il volume di falle emerso in poche ore conferma quanto la superficie di attacco del software open source sia ampia, anche in un ecosistema maturo come quello di Bitcoin: wallet software, librerie crittografiche condivise e strumenti di infrastruttura come nodi Lightning sono bersagli concreti, non solo teorici, come dimostrano i casi Coldcard, CryptoJS e BTCPay ricordati sopra. Dall’altro, l’esistenza di un canale di finanziamento rapido e dedicato riduce il tempo tra scoperta e correzione, storicamente uno dei punti deboli della sicurezza open source volontaria, dove i manutentori lavorano spesso senza budget e senza obbligo di risposta rapida.
Una distinzione utile per orientarsi tra i numeri: una vulnerabilità critica è tipicamente una falla sfruttabile da remoto che porta a perdita diretta di fondi o compromissione totale del sistema, mentre una alta gravità richiede solitamente condizioni aggiuntive (accesso locale, interazione dell’utente) per essere sfruttata. Con 85 falle nella prima categoria e 635 nella seconda su 390 progetti, la fotografia scattata dal Red Team suggerisce che il problema non riguardi uno o due software isolati, ma sia distribuito su una fetta ampia dell’ecosistema. Il gruppo prevede inoltre di rendere pubblica una piattaforma IA open source per l’audit automatico di codice Bitcoin, così che altri progetti e altri team di sicurezza possano replicare lo stesso tipo di scansione senza dover ricostruire l’infrastruttura da zero.
Domande Frequenti
Cos’è il Bitcoin Red Team?
È un gruppo di volontari, guidato dallo sviluppatore Calle e da Rob Hamilton di AnchorWatch, che usa modelli di intelligenza artificiale per scansionare il codice open source dei progetti Bitcoin e individuare vulnerabilità di sicurezza.
Quante vulnerabilità sono state trovate?
4.962 segnalazioni in 390 progetti in 27,5 ore, di cui 85 classificate come critiche e 635 come ad alta gravità.
Chi ha finanziato l’iniziativa?
OpenSats, organizzazione no-profit statunitense che sostiene lo sviluppo open source di Bitcoin, con quasi 40.000$ attraverso il nuovo Red Team Fund.
Le falle sono già state corrette?
Le fonti disponibili al momento della stesura non riportano un conteggio delle correzioni già applicate: la prassi seguita dal gruppo è la divulgazione responsabile ai maintainer dei singoli progetti, che restano poi responsabili delle patch.
Questa iniziativa è collegata al bug Coldcard?
Sì, le fonti citate indicano l’exploit RNG di Coldcard come l’evento che ha innescato la mobilitazione del Red Team e l’apertura del fondo dedicato da parte di OpenSats.
Prospettive
Se il ritmo di scansione mantenuto in questa prima sessione dovesse proseguire, il Bitcoin Red Team potrebbe diventare un punto di riferimento stabile per l’audit continuo del software open source legato a Bitcoin, invece che una risposta una tantum a un singolo incidente. La pubblicazione annunciata della piattaforma IA open source sarà il primo banco di prova per capire se il modello è replicabile anche da altri team di sicurezza al di fuori del gruppo originale.
Questo articolo non costituisce consulenza finanziaria.
Resta aggiornato su sicurezza e novità del mondo Bitcoin con l’app di BitcoinLive24 — scarica l’app.
