web3：比特幣紅隊使用Kimi K3掃描後記錄7958項問題

比特幣開源生態正進入更快速的安全審查週期。比特幣紅隊表示，在對 501 個項目進行約 108 小時審查後，累計記錄 7,958 項問題，其中 1,280 項被歸為高危或嚴重級別。不過，這些數字並不等同於已確認可被利用的漏洞，許多結果仍需維護者和研究人員進一步複現與核實。

已有部分結果完成複現並上報

從披露數據來看，約 24.7% 的問題已完成可複現驗證，29.4% 已提交給項目維護者。參與行動的化名開發者 Calle 表示，團隊已對幾乎整個比特幣開源生態完成基礎掃描，較容易發現的漏洞面已被大範圍檢查。

這輪行動的核心工具是 Moonshot AI 的 Kimi K3。Calle 認為，前沿模型已能快速檢查多年積累的開源代碼，使老舊軟體面臨更高強度的安全審視。但文中也強調，這並不意味著 Bitcoin Core 或所有比特幣專案已被攻破。

Kimi K3 被用於大規模代碼審計

獨立測試顯示，Kimi K3 在網絡安全任務上具備一定能力。英國 AI Security Institute 與美國 CAISI 的聯合評估稱，該模型在漏洞利用開發測試中表現優於 GLM-5.2，但仍落後於最強的美國閉源模型。Kimi K3 在 ExploitBench 上得分為 32%，在 41 個樣本中沒有實現任意代碼執行。

比特幣紅隊此前曾在 390 個比特幣項目中發現 4,962 項潛在問題，其中 720 項當時被列為高危或嚴重級別。最新統計顯示，掃描範圍和問題數量都較首輪明顯擴大。

BTCPay Server 已修復一項嚴重漏洞

這次行動已不僅僅是自動掃描。BTCPay Server 在官方 GitHub 發布說明中確認，已根據比特幣紅隊研究員 Bruno Garcia、Ben Carman 以及獨立研究人員的報告修復一項嚴重漏洞。2.4.2 版本修復了影響 Greenfield Basic Authentication 的雙因素認證繞過問題，而該漏洞當時已被利用。

BTCPay Server 隨後還表示，攻擊者曾從受影響部署中獲取 LND admin macaroon 憑證，並藉此存取連接的閃電網絡錢包。項目方稱，仍在處理來自 Bitcoin Red Team、Project Loupe、Magic Grants 及獨立研究人員的更多報告，同時加強掃描和審查流程。

這些修復說明，紅隊報告中的部分高風險問題已被維護者確認並處理。但這並不能證明 7,958 項記錄都成立。AI 輔助審計仍可能產生誤報、重複報告，或在人工調查後調整風險等級。

維護響應速度或更受關注

Calle 認為，隨著 AI 顯著降低漏洞發現和測試成本，長期缺乏維護的項目需要被更謹慎地看待。項目方對漏洞報告的回應速度，可能會越來越直接地反映項目健康狀況。未來，維護者或需持續運行自己的 AI 審計流程，而不只是依賴偶發的外部審查。

比特幣生態也在朝這一方向靠攏。OpenSats 已推出快速紅隊資助通道，部分用於補貼研究人員的 LLM 成本。另有 40 多家比特幣和數字資產機構呼籲主要 AI 實驗室，向經過審核的開源防禦者提供受控的前沿模型存取權限，包括安全環境、足夠算力及與 AI 安全團隊的直接溝通管道。

對普通用戶而言，更直接的風險仍集中在錢包、閃電網絡基礎設施、支付軟體和老舊代碼庫，而不是比特幣底層共識協議本身。