Quarkslab completa la primera auditoría de seguridad pública realizada por terceros al núcleo de Bitcoin.

Firma de ciberseguridad Losa de quark anunció que ha completado la primera auditoría de seguridad pública realizada por terceros. Bitcoin Core La evaluación fue financiada por Borde y coordinado por el Fondo para la Mejora de la Tecnología de Código Abierto ( OSTIF Quarkslab colabora con OSTIF desde 2015 y realiza auditorías de seguridad relacionadas con blockchain desde 2018, comenzando con una revisión de la implementación de Bulletproofs de Monero.

En este proyecto, Quarkslab llevó a cabo una evaluación de seguridad exhaustiva de Bitcoin Core para apoyar a los desarrolladores y a la comunidad en la mejora de la seguridad del ecosistema. La auditoría combinó análisis estático con pruebas dinámicas para ofrecer una visión integral del estado de seguridad del sistema, evaluar los métodos de prueba existentes y proponer nuevos enfoques.

Bitcoin Core es la implementación de referencia de la red Bitcoin, que soporta un activo multimillonario e incluye un cliente de nodo completo, interfaz gráfica de usuario (GUI), funciones de minería y una billetera integrada. Desde su lanzamiento inicial por Satoshi Nakamoto en agosto de 2009, ha experimentado un extenso desarrollo, acumulando más de 46 000 contribuciones en 16 años. Escrito en C y C++, cuenta con el mantenimiento de decenas de colaboradores activos, muchos de ellos financiados por organizaciones como Brink y Chaincode Labs, y constituye la base de la infraestructura descentralizada de Bitcoin. Si bien el protocolo en sí rara vez se actualiza, el código fuente se refina y modulariza continuamente. Con la gran cantidad de nodos que ejecutan este software, cualquier fallo podría tener implicaciones sistémicas, lo que convierte una auditoría exhaustiva por parte de terceros en un complemento importante a los esfuerzos de seguridad que realizan los desarrolladores de Bitcoin Core.

La auditoría se llevó a cabo entre mayo y septiembre, con un total de 100 días-hombre. Debido a la magnitud del código fuente, la evaluación se centró en la capa de red entre pares, la principal superficie de ataque de la red Bitcoin. Esto incluyó el mempool, la gestión de pares y de la cadena, y la lógica de consenso y validación de políticas.

El trabajo se estructuró en tres etapas: una revisión manual del código centrada en la gestión de hilos y la validación de transacciones, pruebas dinámicas con herramientas y marcos de trabajo de Bitcoin existentes, y pruebas de fuzzing avanzadas con métodos poco o nada aplicados al código fuente. La auditoría tenía como objetivo identificar posibles vulnerabilidades y apoyar a la comunidad en el fortalecimiento de la seguridad general mediante contribuciones directas, como solicitudes de extracción y nuevas herramientas de fuzzing, y explorando nuevos enfoques para reforzar el código fuente y los procesos de prueba.

Auditoría de Quarkslab: No se detectaron problemas de alto impacto en Bitcoin Core; se recomiendan mejoras en las pruebas y en el fuzzing.

Durante la auditoría, los investigadores identificaron dos hallazgos de baja gravedad y trece recomendaciones informativas, ninguna de las cuales supone un riesgo para la seguridad, según Bitcoin Core Clasificaciones de vulnerabilidades. Gran parte del trabajo se centró en fortalecer el marco de pruebas de Bitcoin Core, utilizando herramientas internas de fuzzing y experiencia especializada. Esto incluyó la creación de nuevos arneses de fuzzing para conexiones de bloques y reorganizaciones de la cadena, que pusieron a prueba rutas de código no probadas previamente y abordaron recomendaciones para mejorar las anotaciones de seguridad de subprocesos y la legibilidad general del código.

Esta colaboración también condujo a varias mejoras en la infraestructura de pruebas de Bitcoin Core, incluyendo un corpus de pruebas ampliado para aumentar la cobertura, una imagen Docker para facilitar las campañas de fuzzing de conjunto, una herramienta experimental de pruebas sin regresión basada en puntos de seguimiento de Bitcoin y la exploración de varios métodos de fuzzing, como el fuzzing estructurado y el fuzzing diferencial.

La evaluación se centró en los componentes peer-to-peer y los escenarios de ataque más impactantes que afectan al consenso o la disponibilidad del protocolo. No se detectaron problemas de alto impacto, aunque se realizaron mejoras incrementales en las herramientas de fuzzing existentes y se introdujeron otras nuevas para cubrir escenarios no probados, como las reorganizaciones de la cadena. Se exploraron enfoques de prueba alternativos, incluidos el fuzzing de conjunto y el fuzzing diferencial, que se espera que aporten valor a la estrategia general de pruebas y a la resiliencia del proyecto. En particular, Fuzzamoto 2, el método de fuzzing de instantáneas desarrollado por Brink, se considera una vía prometedora para descubrir errores más complejos.

Quarkslab expresó su agradecimiento a los ingenieros de Brink y Chaincode Labs por su apoyo constante durante la auditoría. La evaluación destacó la sólida arquitectura, la fiabilidad y la madurez de Bitcoin Core. Quarkslab enfatizó que la experiencia de revisar un software tan sofisticado y bien diseñado fue sumamente valiosa y espera que sus hallazgos fortalezcan aún más el proyecto.