ビットコイン・レッドチーム、大規模監査により390プロジェクトで約5,000件の脆弱性を発見

ビットコイン・レッドチームが大規模監査により約5,000件の脆弱性を発見

16名の研究者で構成されるビットコイン・レッドチーム（Bitcoin Red Team）は、AI（人工知能）モデルと手動レビューを組み合わせた革新的な監査手法を導入し、5,000件の脆弱性を発見したことが明らかになった。

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7

We're running a large-scale ecosystem security audit across bitcoin code bases.

27.5 hours in, we've filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues.

We're at… pic.twitter.com/iRCylprbY1

— calle (@callebtc) August 5, 2026

約30時間という短い期間で390のオープンソース・プロジェクトを網羅し、4,962件に及ぶ潜在的な脆弱性を抽出。この中には「クリティカル」85件を含む計720件の重篤な問題が含まれており、研究者1人あたり1時間平均2.31件のハイリスク領域を特定する驚異的なペースを記録した。

しかし、この急速な自動化分析は現場に激震を与えている。現段階で実際に再現が確認された割合は21.4%にとどまり、不正確な報告や誤検知（フォールス・ポジティブ）の混入が避けられない。オープンソースのメンテナーたちは、押し寄せる大量の報告を精査・検証し、パッチを適用する過酷な作業に追われているのが現状だ。

Coldcard事件が引き金となったエコシステム全体の警戒感

今回の極めて大規模な調査背景には、ハードウェアウォレットColdcard（コールドカード）のシード生成アルゴリズムに存在した深刻な乱数性の欠陥がある。

この問題に起因する一連の攻撃により、5,200以上のアドレスから累計1,816 BTC約1億1,600万ドル（約183.6億円）超が流出。潜在的な被害を含めると最大2,055 BTCに達する恐れがあり、業界全体に強烈な危機感をもたらした。

製造元のCoinkite（コインカイト）社は対応ファームウェアを配布したものの、古いシード値で生成された資金の安全を確保するには、新シードへの移行と全資産の送金が必要となる。この苦い教訓を受け、非営利団体OpenSats（オープンサッツ）から4万ドル（約633万円）以上の資金提供を得たレッドチームは、検証用ツールのオープンソース化を進めており、主要コードだけでなく依存関係やビルド設定まで含めた多角的な防衛体制の構築を目指している。