Une équipe de seize volontaires a déposé 4 962 rapports de vulnérabilités lors d’un audit éclair ayant couvert 390 projets de l’écosystème Bitcoin début août 2026, principalement à l’aide d’agents d’intelligence artificielle. L’opération, financée par OpenSats pour environ 40 000 dollars, marque un tournant dans la manière dont la sécurité du code open source est passée en revue à grande échelle.
🔑 En bref
- 4 962 signalements déposés sur 390 projets en ~30 heures par le Bitcoin Red Team
- 720 vulnérabilités critiques ou de haute sévérité (14,5 % du total), soit 1,85 problème grave par projet
- 91 % des découvertes issues d’ingestion automatique par agents IA, supervisés par 14 humains et 3 agents automatisés
- Financement d’environ 40 000 dollars apporté par la fondation OpenSats
- Le protocole Bitcoin central n’a pas été audité : seuls les outils utilisateurs (portefeuilles, SDK, plateformes) étaient visés
Une opération éclair à dimension industrielle
Le Bitcoin Red Team a travaillé sans interruption pendant une trentaine d’heures début août 2026, en s’appuyant sur seize opérateurs répartis sur plusieurs fuseaux horaires. Selon le rapport de situation publié par calle, créateur du protocole Bitcoin ecash Cashu, l’équipe finale a réuni 17 contributeurs : 14 humains et 3 agents automatisés. Le rythme soutenu — entre 166 et 180 signalements par heure — témoigne d’une cadence rarement atteinte lors d’audits traditionnels.
Le financement, fourni par OpenSats (association à but non lucratif soutenant le développement open source Bitcoin), s’est élevé à près de 40 000 dollars. Cette enveloppe a couvert l’infrastructure de calcul et la coordination, sans qu’aucune rémunération ne soit versée aux contributeurs, qui ont opéré à titre bénévole.
« Nous sommes sincèrement désolés si nos rapports ont ajouté du stress à une journée déjà stressante. »
calle, développeur Cashu et coordinateur du Bitcoin Red Team
Une sévérité concentrée sur certains segments
Si le volume brut de signalements est élevé, la sévérité reste concentrée sur certaines catégories de projets. Sur les 4 962 rapports, 85 ont été classés critiques et 635 de haute sévérité, représentant ensemble 14,5 % du corpus. La moyenne s’établit à 1,85 problème grave par projet audité, un chiffre inédit à cette échelle.
Environ 91 % des découvertes ont été générées par ingestion automatique, mais calle insiste sur le fait que la supervision humaine est demeurée essentielle pour filtrer les faux positifs et valider la pertinence des résultats. 21 % des signalements ont fait l’objet d’une reproduction dynamique, c’est-à-dire accompagnés d’un code de démonstration de la vulnérabilité.
| Catégorie de projet | Signalements totaux | Part critiques + élevées |
|---|---|---|
| Outils de confidentialité et coinjoin | ~620 | 24 % |
| Plateformes d’échange / swap | ~770 | 21 % |
| Outils de paiement et solutions marchandes | ~720 | 17 % |
| Bibliothèques cryptographiques et SDK | 1 101 | 10 % |
Les bibliothèques cryptographiques et kits de développement ont produit le plus grand volume brut (1 101 signalements), mais seulement un dixième atteignait le seuil de haute sévérité. À l’inverse, les outils de confidentialité et de coinjoin, dont la surface d’attaque est souvent plus complexe, concentrent la part la plus élevée de vulnérabilités sérieuses (24 %).
L’affaire Coldcard comme détonateur
La campagne a été lancée quelques jours après la révélation publique d’une faille dans le portefeuille matériel Coldcard de Coinkite. Le défaut, présent depuis mars 2021 dans un build de micrologiciel, extrayait les graines de portefeuille à partir d’un générateur pseudo-aléatoire logiciel plutôt que du générateur matériel de nombres aléatoires (TRNG, True Random Number Generator) intégré à l’appareil, rendant les clés privées devinables.
Coinkite a évalué dans son post-mortem que « quelqu’un a probablement utilisé l’intelligence artificielle pour passer en revue les versions antérieures de notre micrologiciel ». L’incident aurait coûté environ 130 millions de dollars en Bitcoin aux utilisateurs concernés, soulignant l’ampleur des conséquences possibles lorsqu’une vulnérabilité matérielle reste non détectée pendant plus de cinq ans.
« L’intelligence artificielle est désormais employée pour identifier des vulnérabilités dans le code crypto à la vitesse machine. Open source et examiné ne signifient pas la même chose. »
Charles Guillemet, directeur technique de Ledger
Une divulgation rapide qui suscite des tensions
À l’heure de la rédaction du rapport, seuls 19 projets, soit moins de 5 % de ceux audités, avaient reçu une notification préalable. Calle a reconnu le poids supplémentaire imposé aux mainteneurs, tout en défendant la rapidité de diffusion : les propriétaires de projets sont selon lui les mieux placés pour valider les découvertes, la validation est devenue « quasi gratuite grâce à l’IA », et toute autre personne utilisant les mêmes outils parviendrait aux mêmes bugs. Huit signalements ont déjà été retirés comme faux positifs.
En amont de cette campagne, l’équipe avait déjà procédé à des scans sur environ 150 dépôts, débouchant sur plus d’une douzaine de divulgations privées. Pour les cas jugés critiques, les vulnérabilités ont été reproduites localement avant que les mainteneurs ne soient contactés, dans une démarche de divulgation responsable (responsible disclosure). Parmi les contributeurs figurent notamment Rob Hamilton, directeur général d’AnchorWatch, ainsi que le développeur calle (Cashu).
Conclusion : l’IA rebat les cartes de l’audit open source
Cette campagne démontre que la combinaison d’agents IA et d’une coordination humaine distribuée peut produire en quelques heures un volume d’audit supérieur à ce que des équipes classiques réaliseraient en mois. Elle confirme aussi un constat formulé par Charles Guillemet : le code open source n’est pas synonyme de code profondément examiné. La faille Coldcard, restée cachée plus de cinq ans dans un micrologiciel public, en est l’illustration la plus coûteuse de l’année.
Le Bitcoin Red Team a annoncé son intention de livrer ses outils en open source, ce qui pourrait accélérer la standardisation de ce type d’approche dans l’ensemble de l’écosystème crypto. Le scénario à surveiller : qu’une proportion croissante de mainteneurs intègrent des agents IA à leurs pipelines CI/CD, transformant l’audit de sécurité ponctuel en un processus continu. À l’inverse, une recrudescence de divulgations massives sans coordination suffisante pourrait saturer les petites équipes et ralentir, paradoxalement, le rythme des correctifs.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
