Az AI megkeresi a Bitcoin gyenge pontjait – és ez most még jó hír

Egy kis csapat szisztematikusan megtámadja a Bitcoint — és ezt ők maguk kérték. A Bitcoin Red Team nevű biztonsági kutatócsoport az utóbbi hónapokban mesterséges intelligencia segítségével keres sérülékenységeket a Bitcoin ökoszisztéma alapvető komponenseiben. Az eredmények nem megnyugtatóak, de a folyamat maga pontosan az, amire szükség van.

Mi az a Red Team, és miért baj, ha nincs?

A „red team” fogalma a katonai terminológiából jön: egy csoport, amelynek feladata, hogy a saját rendszerét ellenségként támadja meg. A Bitcoin esetében ez azt jelenti, hogy önkéntes biztonsági kutatók — nem rosszindulatú hackerek — aktívan keresik azokat a hibákat, amelyeket mások majd kihasználhatnának.

A Bitcoin Red Team alapítója 2026-ban nyilvánosan is elismerte, hogy kínai fejlesztésű AI-eszközöket vontak be a munkába. Saját szavaival: „teljesen felkavar” — de az eredményesség miatt nem teheti meg, hogy ne használja őket. Ez nem ideológiai döntés, hanem pragmatikus: az AI egyszerűen gyorsabban találja meg a potenciális sérülékenységeket, mint a hagyományos kódelemzés.

Hol keresnek — és mit találnak?

A kutatók három fő területre koncentrálnak. Mindhárom érinti a hétköznapi felhasználókat is, nem csak a nagy szereplőket.

1. Wallet firmware és hardveres tárcák

A hardveres tárcák (Ledger, Trezor és társaik) firmware-je zárt vagy félig nyílt forráskódú rendszer. Az AI-alapú elemzés képes olyan logikai hibákat azonosítani a tranzakció-aláírási folyamatban, amelyek emberi szemmel nehezen észlelhetők. A Bitcoin Red Team több ilyen jellegű sérülékenységet azonosított — konkrét eszközneveket egyelőre nem hoztak nyilvánosságra, ami a felelős közzététel („responsible disclosure”) szabályait követi.

A lényeg: ha a firmware elavult, a tárca potenciálisan sebezhető. Ez nem elméleti fenyegetés.

2. Node szoftverek — Bitcoin Core és alternatívák

A Bitcoin hálózatát fenntartó node-ok szoftvereiben az AI memóriakezelési hibákat és race condition-típusú sebezhetőségeket talált. Ezek a hibák jellemzően nem azonnali pénzlopást tesznek lehetővé, hanem denial-of-service támadásokat — vagyis egy node leállítható, a hálózat lassítható, vagy egy specifikus csomópont izolálható.

Ez különösen akkor válik kritikussá, ha valaki saját node-ot futtat, és azt fizetési infrastruktúraként használja — például egy kis vállalkozás bitcoin-elfogadáshoz.

3. Fejlesztői hibák és könyvtárszintű problémák

A harmadik terület talán a legtágabb: azok a nyílt forráskódú könyvtárak, amelyekre a wallet-alkalmazások, exchange-ek és Lightning Network implementációk épülnek. Egy egyetlen sérülékeny függvény — amelyet tíz különböző projekt importál — tíz helyen teremt támadási felületet egyszerre.

Az AI itt különösen hatékonyan dolgozik: képes keresztreferenciálni, hogy egy adott kódrészletet hány projektben és milyen kontextusban használnak.

Miért sérülékeny az open source — és miért ez menti meg?

Sokan azt gondolják, hogy a nyílt forráskód automatikusan biztonságos, mert „mindenki látja a kódot.” Ez féligazság. A valóság az, hogy a legtöbb open source projektet néhány tucat önkéntes tartja fenn, akiknek nincs kapacitásuk minden sor kódot biztonsági szempontból átvizsgálni.

Az AI pontosan ezt a bottlenecket oldja fel. Ami korábban hónapokig tartó manuális auditot igényelt, most napok alatt elvégezhető. A Bitcoin Red Team szerint az AI nemcsak gyorsabb, hanem más típusú hibákat talál — olyanokat, amelyeket az emberi logika hajlamos átugorni, mert „nyilvánvalónak” tűnik, hogy egy kódrészlet helyes.

Az open source másik előnye viszont valós: ha a sérülékenység nyilvánosságra kerül (a javítás megjelenése után), bárki ellenőrizheti, hogy a patch valóban lefedi-e a problémát. Zárt forráskódú rendszernél ezt vakon kell elfogadni.

Mikor jön a javítás — és hogyan működik a folyamat?

A Bitcoin ökoszisztémában a biztonsági hibák kezelése szigorú protokoll szerint zajlik. A kutatók először privát csatornán értesítik az érintett projekt fejlesztőit — ez a „responsible disclosure.” A fejlesztők ezután meghatározott határidőn belül (jellemzően 90 nap) javítást készítenek. Csak ezután kerül nyilvánosságra a sérülékenység részletei.

A probléma: az átlagos felhasználó általában nem tudja, hogy egy frissítés mögött kritikus biztonsági javítás húzódik-e, vagy csak funkcionális változtatás. A Bitcoin Core esetében a release notes tartalmaz erre utalást, de ezt kevesen olvassák el.

A Lightning Network implementációknál — LND, Core Lightning, Eclair — a helyzet összetettebb, mert ezek fejlődése gyorsabb, és a frissítési ciklusok rövidebbek. Aki hónapokig nem frissít, az valóban kockázatot vállal.

Mit tehet egy átlagos felhasználó?

A fenyegetések listája ijesztőnek tűnhet, de a védelem alapjai meglepően egyszerűek. Nem kell biztonsági szakértőnek lenni.

• Frissíts rendszeresen. A wallet-alkalmazások, hardveres tárca firmware-ek és node szoftverek frissítéseit ne halaszd. Ez az egyetlen leghasznosabb dolog, amit megtehetsz.
• Ellenőrizd a letöltési forrást. Kizárólag a hivatalos weboldalról vagy a gyártó által jóváhagyott platformokról töltsd le a szoftvereket. Egy módosított telepítő nem fog sérülékenységet foltozni — ellenkezőleg.
• Hardveres tárca esetén ellenőrizd a firmware verzióját. A Ledger és Trezor egyaránt rendelkezik beépített verzióellenőrzővel. Ha régebbi firmware fut, frissítés előtt készíts seed phrase backup-ot.
• Node üzemeltetőknek: kövesd a Bitcoin Core hírlevelét. A security advisories nem zajosak, de fontosak.
• Lightning node esetén: a régi verziókon futó node-ok konkrét anyagi kockázatot jelentenek, nem csak elméleti fenyegetést. Egy ismert sérülékenységet aktívan ki lehet használni csatorna-ellopásra.

A geopolitikai zavar és ami mögötte van

A Bitcoin Red Team alapítójának nyilatkozata a kínai AI-eszközök használatáról nem véletlen kerül be ebbe a cikkbe. A biztonsági közösség egy részében komoly vita folyik arról, hogy egy decentralizált, permisszió nélküli rendszer védelmére szabad-e olyan eszközöket használni, amelyek mögött nem átlátható fejlesztői háttér áll.

Ez valós dilemma. Ugyanakkor az alternatíva — nem keresni a hibákat, mert az eszközök eredetét kényelmetlennek érezzük — rosszabb eredményre vezet. A sérülékenységek léteznek attól függetlenül, hogy valaki keresi-e őket vagy sem. Ha a Bitcoin Red Team nem találja meg, megtalálja valaki más — és az nem fogja nyilvánosságra hozni.

Összefoglalás

A Bitcoin Red Team munkája nem a Bitcoin végzetét jelzi — éppen ellenkezőleg. Az a rendszer, amelyet senki nem támad meg tesztelési céllal, sokkal sérülékenyebb, mint az, amelyet folyamatosan próbára tesznek. Az AI ebben gyorsítást jelent, nem új típusú veszélyt.

A valós kockázat ott kezdődik, ahol a felhasználó nem frissít. Egy ismert, javított sérülékenység hónapokkal a patch megjelenése után is aktívan ki van használva — mert az emberek nem frissítenek. Ez nem Bitcoin-specifikus probléma, de a Bitcoin esetében a következmény közvetlen anyagi veszteség lehet.

Az open source modell önjavító természete most is működik. A kérdés csak az, hogy a javítások eljutnak-e a felhasználókhoz — és ehhez az utolsó lépést a felhasználónak kell megtennie.