Nell’estate del 2026 un piccolo gruppo di sviluppatori Bitcoin ha deciso di combattere il fuoco con il fuoco: usare l’intelligenza artificiale per trovare le falle prima dei ladri. Il Bitcoin Red Team, guidato da Calle e Rob Hamilton (CEO di AnchorWatch), ha scansionato centinaia di progetti open source Bitcoin con modelli AI come Kimi K3, spendendo oltre $40.000 in token e trovando migliaia di vulnerabilita’ — inclusa, secondo TFTC, la falla critica in Core Lightning che BitcoinLive24 ha raccontato questa mattina.
Il Detonatore: il Bug da Oltre $100 Milioni in Coldcard
La miccia e’ stata il bug nel firmware del portafoglio hardware Coldcard, che tra fine luglio e inizio agosto 2026 ha permesso il furto di oltre 100 milioni di dollari in bitcoin sfruttando un generatore di numeri casuali difettoso, come BitcoinLive24 ha gia’ raccontato. Per una parte della comunita’ degli sviluppatori, l’incidente non era un caso isolato ma il sintomo di un problema piu’ ampio: centinaia di progetti Bitcoin open source vengono mantenuti da poche persone, con budget di audit di sicurezza risicati.
Da quella frustrazione e’ nato il Bitcoin Red Team, un’iniziativa finanziata da OpenSats (la no-profit che sostiene lo sviluppo open source di Bitcoin) con l’obiettivo dichiarato di scansionare l’intero ecosistema con l’aiuto dell’intelligenza artificiale, secondo la ricostruzione di Bitcoin Magazine.
Chi Sono Calle e Rob Hamilton
Calle non e’ un nome nuovo per i lettori di BitcoinLive24: e’ lo stesso sviluppatore, noto anche per il suo lavoro sul protocollo Cashu e sull’app Bitchat, che questa mattina era stato tra i primi a rilanciare pubblicamente l’allerta sulla vulnerabilita’ di Core Lightning. Quello che i lettori non sapevano e’ che Calle e’ anche il co-organizzatore dell’audit che, secondo TFTC, ha contribuito a far emergere proprio quella falla.
Al suo fianco c’e’ Rob Hamilton, CEO di AnchorWatch (societa’ di custodia e assicurazione Bitcoin), che ha portato struttura organizzativa e capitale relazionale al progetto.
Sul social network X, Calle ha riassunto lo spirito dell’operazione con una frase che sta circolando molto nella community: “We’re experiencing a massive collision between decades of human open source slop against 2 weeks of Kimi K3. Everything is broken, Bitcoin is burning” — in italiano, uno scontro tra decenni di codice open source umano imperfetto e due settimane di lavoro di Kimi K3, con tutto che si rompe. Il post originale di Calle su X e’ stato poi ripreso da Decrypt.
Kimi K3 e un Harness da 171.599 Righe: Come Funziona l’Audit
Il cuore tecnico del progetto e’ un harness (un’infrastruttura software su misura) costruito per lanciare modelli AI contro le librerie Bitcoin piu’ critiche, identificare pattern sospetti, verificarli e documentarli. Secondo Bitcoin Magazine, lo strumento e’ arrivato a contare 171.599 righe di codice.
Il modello principale usato e’ Kimi K3, sviluppato dalla cinese Moonshot AI. La scelta non e’ casuale: secondo la ricostruzione di Decrypt, i modelli statunitensi hanno piu’ volte bloccato o limitato le richieste del team per motivi legati alle policy sulla sicurezza informatica, spingendo il Red Team verso modelli cinesi eseguibili anche in locale. Accanto a Kimi K3, il team ha utilizzato anche GPT Sol, Fable, Opus e GLM5.2 in fasi diverse dell’audit.
I Numeri di un’Estate di Bug Hunting
La scansione e’ avvenuta in almeno due fasi distinte, con una portata che e’ cresciuta rapidamente:
| Metrica | Fase 1 | Fase 2 |
|---|---|---|
| Durata | 27,5 ore | 108 ore |
| Progetti scansionati | 390 | 501 |
| Findings totali | 4.962 | 7.958 |
| Alta/critica gravita’ | 720 (85 critiche + 635 alte) | 1.280 |
Fonte: Bitcoin Magazine e crypto.news. Non tutti i risultati grezzi sono bug reali: secondo crypto.news, al momento della seconda rilevazione il 24,7% dei findings era gia’ stato riprodotto dinamicamente (cioe’ confermato eseguendo davvero l’exploit) e il 29,4% era gia’ stato segnalato ai manutentori dei progetti coinvolti — un processo di verifica umana che resta necessario anche quando a cercare i bug e’ un’AI.
Dalla Scansione a Core Lightning: la Scoperta del 26 Agosto
Il collegamento piu’ concreto tra il lavoro del Red Team e la cronaca recente riguarda proprio le vulnerabilita’ critiche di Core Lightning confermate il 26 agosto, che BitcoinLive24 aveva gia’ documentato: il team CLN aveva ricevuto diverse segnalazioni generate con l’aiuto di strumenti AI nell’arco di dieci giorni, prima di decidere per lo stop precauzionale dei nodi. Secondo TFTC, “le vulnerabilita’ CLN divulgate il 26 agosto sono emerse proprio da quella scansione” del Bitcoin Red Team.
Non e’ un caso isolato nemmeno guardando indietro di qualche settimana: il 7 agosto BTCPay Server aveva rilasciato la versione 2.4.2 dopo la scoperta di una falla critica, in quello che diversi osservatori considerano il primo risultato concreto dello stesso filone di audit nato dopo il caso Coldcard.
Cosa Significa il Bitcoin Red Team per il Futuro della Sicurezza Open Source
La storia del Bitcoin Red Team racconta qualcosa che va oltre le singole vulnerabilita’ trovate. Per anni la sicurezza del software Bitcoin ha fatto affidamento su un numero relativamente piccolo di sviluppatori esperti che leggono codice riga per riga. L’AI non sostituisce quel lavoro — i dati di crypto.news sulla percentuale di findings ancora da confermare lo dimostrano — ma lo moltiplica: un modello puo’ passare al setaccio centinaia di repository nel tempo in cui un umano ne legge uno.
Il rovescio della medaglia, gia’ visibile nella cronaca di agosto, e’ che la stessa velocita’ puo’ generare emergenze quasi simultanee su piu’ fronti (BTCPay Server, Core Lightning, e prima ancora la scoperta stessa del bug Coldcard), mettendo sotto pressione team di manutenzione che restano piccoli e sotto-finanziati rispetto alla scala del problema che l’AI sta ora rivelando.
Il Bitcoin Red Team non ha ancora finito il suo lavoro: con 501 progetti coperti su un ecosistema che ne conta molti di piu’, e’ probabile che altre vulnerabilita’ emergano nelle prossime settimane, con o senza embargo pubblico. Per chi usa Bitcoin ogni giorno, la lezione pratica resta quella che BitcoinLive24 ha gia’ dato ai lettori sul caso Core Lightning: tenere aggiornato il software dei nodi e dei wallet, senza aspettare un comunicato ufficiale per prendere precauzioni quando un progetto invita a farlo.
FAQ
Cos’e’ il Bitcoin Red Team?
E’ un’iniziativa informale di sviluppatori Bitcoin, guidata da Calle e Rob Hamilton e finanziata da OpenSats, che usa modelli di intelligenza artificiale per scansionare centinaia di progetti open source Bitcoin alla ricerca di vulnerabilita’ di sicurezza.
Perche’ il team usa un modello AI cinese come Kimi K3?
Secondo la ricostruzione di Decrypt, alcuni modelli statunitensi hanno limitato le richieste del team legate alla ricerca di vulnerabilita’ per policy di sicurezza informatica, spingendo il Red Team verso Kimi K3 di Moonshot AI, eseguibile anche in locale, insieme ad altri modelli usati in fasi diverse dell’audit.
Il Bitcoin Red Team ha trovato davvero il bug di Core Lightning?
Secondo TFTC, le vulnerabilita’ critiche di Core Lightning confermate il 26 agosto 2026 sono emerse dalla scansione del Bitcoin Red Team. Il team di Core Lightning non ha pubblicato un collegamento ufficiale esplicito, ma la tempistica e il canale di segnalazione (report AI nell’arco di dieci giorni) coincidono con quanto documentato dal Red Team.
Tutte le vulnerabilita’ trovate dall’AI sono reali?
No. Secondo crypto.news, al momento della seconda rilevazione solo il 24,7% dei findings era stato riprodotto dinamicamente e il 29,4% segnalato ai manutentori: gran parte del lavoro umano del Red Team consiste proprio nel verificare quali segnalazioni AI sono bug reali.
Per restare aggiornato in tempo reale su ogni sviluppo della sicurezza Bitcoin, scarica l’app BitcoinLive24: ricevi una notifica push ogni volta che una notizia come questa viene pubblicata.
