BTC関連390プロジェクトに「脆弱性候補約5,000件」AI大規模監査で検出

AI監査で約5,000件の脆弱性候補を検出

ビットコイン（BTC）のオープンソースソフトを点検する有志チーム「Bitcoin Red Team（ビットコイン・レッドチーム）」を率いる開発者のCalle（カレ）氏は2026年8月6日、AIを活用した大規模監査の途中経過をXで公表しました。

監査開始から27.5時間で、暗号ライブラリやウォレットを含む390のオープンソースプロジェクトから4,962件の脆弱性候補が検出されたといいます。

検出された候補のうち、85件は最も深刻度の高い「緊急（クリティカル）」、635件は「高危険度」に分類されました。

監査には世界各地から16人が参加し、24時間体制でビットコイン関連ソフトウェアの解析を続けていると同氏は説明しています。

（前略）私たちはビットコイン関連コードベース全体を対象に、大規模なエコシステムセキュリティ監査を実施しています。

開始から27.5時間が経過した時点で、390のプロジェクトから合計4,962件の脆弱性候補を報告しました。

そのうち、重大度「Critical（緊急）」が85件、「High（高）」が635件含まれています。（後略）

Coldcard被害拡大、約140億円に

BTCウォレット「Coldcard」流出140億円規模に、3波目を確認

監査体制を急拡大、16人が24時間で調査

Coldcard流出が大規模監査の発端に

今回の大規模監査が本格化するきっかけとなったコールドカードの被害について、調査会社のGalaxy Research（ギャラクシー・リサーチ）は8月1日、この欠陥を突いた攻撃で3回目の資金流出を確認したとXで明かしました。

同社の集計では、被害総額は3回の流出を合わせて1,367.05BTC（8,860万ドル/140億円相当）に達し、流出元も4,585アドレスまで拡大したとしています。

攻撃はいまも続いているとして、同社はコールドカードの単一署名（シングルシグ）ウォレットに残る資金を、安全なウォレットへ速やかに移すよう利用者へ呼びかけました。

AI解析に1日約157万円、費用はOpenSatsが負担

被害の拡大を受け、監査チームを共同で率いるAnchorwatch（アンカーウォッチ）CEOのロブ・ハミルトン氏らは、調査対象を短期間で大幅に広げながら監査を進めました。

ハミルトン氏は8月5日、この時点で150のリポジトリ（コードの保管場所）まで調査を拡大し、十数件の脆弱性を非公開で報告したとXで明かしました。

同氏は、この時点までに約2万ドル（約315万円）を各種サービスへ投じたと説明しており、開発したハーネス（コードを自動解析する仕組み）には解析用AIモデル「Kimi K3」などを組み込んだとしています。

一方、監査を主導するCalle氏も同じ8月4日、直近12時間で複数のプロジェクトへ重大な脆弱性を報告したとXへ投稿し、監査には1日あたり約1万ドル（約157万円）の費用がかかっていることを明らかにしました。

同氏はAIモデルを提供したKimi.aiとKimi K3に謝意を示したうえで、これらの費用はビットコイン開発を支援する米国の非営利団体OpenSats（オープンサッツ）が負担していると説明しています。

AIと人手の併用で毎時2.31件を検出

翌6日に公表した途中経過でCalle氏は、緊急・高危険度に分類される指摘だけでも、1人あたり毎時2.31件のペースで検出していると明かしました。

同氏によると、現在も人手による確認を続けながらAIを組み合わせて監査を進めており、チームが独自開発した自動化ハーネスの精度も改善を続けているといいます。

同氏は、参加者がそれぞれ得意とするレビュー手法で解析を進める体制が、これまでで最も高い成果につながっているとの見方も示しました。

重大な報告の多くはプロジェクト側でも速やかに確認されており、Calle氏はチームが実際に有効な脆弱性を継続的に発見できていると説明しています。

一方で同氏は「いまエコシステムには大きな混乱がある。多くの人が一斉にセキュリティ問題への対応を迫られていることは十分理解している」とも述べ、監査を受ける開発現場への負担にも理解を示しました。

AI「ミュトス」で防御刷新

コインベース、限定AI「ミュトス」のアクセス権を確保｜取引所防御を強化へ

監査ハーネスをOSS公開、業界全体の防御強化へ

ハミルトン氏は8月4日の投稿で、開発したハーネスをオープンソースとして公開し、各社が自社の非公開コードにも同じ監査を実行できるようにする方針を明らかにしました。

公開後は、外部へ公開していないソフトウェアにも同じ監査手法を適用できるようになり、各社が自社コードの脆弱性を事前に確認しやすくなるとしています。

こうしたAIを防御へ活用する取り組みは業界全体へ広がっており、米仮想通貨取引所のCoinbase（コインベース）もセキュリティ特化AI「ミュトス」のアクセス権を確保し、自社システムやオープンソースソフトの防御強化を進めています。

※価格は執筆時点でのレート換算（1ドル=157.71 円）

>>詐欺関連の最新仮想通貨ニュースはこちら

関連の注目記事はこちら

仮想通貨ウォレットの安全表示が罠に、悪質スマートコントラクト4,224件検出

BTCウォレット「Coldcard」流出140億円規模に、3波目を確認

仮想通貨詐欺に「最高で終身刑」ミャンマー議会が反詐欺法案を可決

Source：Calle氏X投稿
サムネイル：AIによる生成画像