Le développeur connu sous le nom de Calle (@callebtc), à qui l’on doit notamment le protocole d’ecash Cashu et la version Android de l’application de messagerie Bitchat, a publié sur X un bilan de deux semaines de recherches de la Bitcoin Red Team.
Ce groupe, qu’il codirige avec Rob Hamilton, CEO d’AnchorWatch, s’est constitué début août 2026 en réponse directe à la faille de génération aléatoire touchant le hardware wallet Coldcard, qui a coûté plus de 100 millions de dollars à ses utilisateurs. Depuis, une quinzaine de chercheurs passent au crible des centaines de projets open source qui gravitent autour de Bitcoin : portefeuilles logiciels et matériels, bibliothèques cryptographiques, implémentations du Lightning Network, services de paiement et outils d’infrastructure.
Dans son message, Calle décrit une collision frontale entre des décennies de code open source humain, de qualité souvent médiocre, et la puissance de modèles d’intelligence artificielle comme Kimi K3, un modèle ouvert du laboratoire chinois Moonshot AI, utilisé par l’équipe aux côtés d’un autre modèle chinois, GLM 5.2 de Z.ai, ainsi que, plus ponctuellement, de modèles américains d’OpenAI et d’Anthropic. Le recours privilégié à des modèles chinois n’est pas anodin : plusieurs membres de l’équipe ont indiqué se heurter régulièrement aux restrictions imposées par les laboratoires américains sur ce type de recherche en sécurité offensive.
Selon Calle, la situation est critique. Il précise toutefois que ce constat ne vise pas le protocole Bitcoin lui-même : le cœur du réseau, Bitcoin Core, avait notamment fait l’objet en 2025 d’un audit indépendant d’une centaine de jours mené par la société française Quarkslab, sans qu’aucune faille critique n’y soit détectée. C’est bien l’écosystème logiciel qui s’est construit autour de Bitcoin — portefeuilles, applications Lightning, bibliothèques, services tiers — qui se révèle largement criblé de vulnérabilités.
Malgré la gravité du constat, Calle y voit un mal nécessaire : c’est précisément à travers cette épreuve que le réseau se renforce. Bitcoin apparaît comme la cible évidente de cette vague d’audits assistés par IA, et le reste du monde du logiciel libre suivra bientôt le même chemin, prédit-il.
Il recommande de ne plus coder en C pour les composants sensibles à la sécurité : l’équipe découvre régulièrement, dans des projets écrits en C, des vulnérabilités de sécurité mémoire que d’autres langages plus modernes empêchent par construction. Il note aussi que le Lightning Network se révèle particulièrement complexe et, en moyenne, plus fragile que le reste de l’écosystème — une conséquence logique du grand nombre de composants interdépendants (implémentations de nœuds, portefeuilles, watchtowers, services de liquidité et de swap) qui doivent fonctionner de façon synchronisée. Ce constat fait écho aux déboires récents de certains services proches de Lightning, comme le prestataire de swaps Boltz, qui avait dû suspendre temporairement son activité après une série d’attaques assistées par IA.
L’intelligence artificielle a considérablement fait chuter le coût de la recherche de vulnérabilités, et les projets qui n’ont pas attendu pour s’appuyer sur elle pour leurs audits se trouvent aujourd’hui, selon Calle, dans une position bien plus favorable que les autres. Chaque projet devra donc se doter, à l’avenir, de sa propre chaîne d’audit automatisé par IA. Mais cette même IA alourdit aussi le fardeau des mainteneurs : assurer la sécurité d’un logiciel est devenu plus lourd et plus stressant qu’auparavant. Calle met en garde contre les projets qui ne sont plus activement maintenus, qu’il juge très probablement compromis et sur lesquels il ne faut plus compter.
Les recherches les plus efficaces, observe-t-il, combinent plusieurs approches indépendantes menées en parallèle et associent l’expérience de chercheurs chevronnés à l’efficacité de différents modèles d’IA. Le travail de la Red Team (et d’autres équipes) devra probablement se poursuivre indéfiniment.
En deux semaines, l’équipe affirme avoir réalisé une première analyse de base de la quasi-totalité de l’écosystème open source public de Bitcoin : les vulnérabilités les plus faciles à trouver ont déjà été identifiées, et de nombreux signalements critiques ou élevés ont été transmis puis confirmés par des mainteneurs. Au moment du bilan de Calle, l’opération avait déjà recensé près de 8 000 signalements potentiels répartis sur plus de 500 projets, dont environ 1 280 classés critiques ou élevés (il faut cependant distinguer les signalements des failles confirmées). L’un des cas concrets les plus marquants concerne BTCPay Server, dont l’équipe a corrigé début août une faille critique de contournement de l’authentification à deux facteurs, activement exploitée, après un signalement des chercheurs de la Red Team.
La rapidité de réaction varie fortement d’un projet à l’autre et en dit long, selon Calle, sur l’état de santé de chacun d’eux, d’où l’importance d’agir vite face à ce type de signalement. Enfin, il rappelle que l’éthique de la red team reste essentielle : une divulgation responsable, qui laisse aux mainteneurs le temps nécessaire pour corriger les failles avant toute publication, est indispensable. Se vanter publiquement de failles non encore corrigées disqualifie, à ses yeux, tout chercheur qui s’y risquerait.
Cette prise de conscience dépasse d’ailleurs la seule Bitcoin Red Team : le Bitcoin Policy Institute et plus de quarante entreprises de l’écosystème Bitcoin et crypto ont publié une lettre ouverte demandant aux principaux laboratoires d’IA — dont OpenAI et Anthropic — de donner aux chercheurs en sécurité un accès contrôlé à leurs modèles les plus avancés, afin que les défenseurs ne soient pas structurellement désavantagés face à des attaquants disposant déjà de tels outils. OpenSats a par ailleurs mis en place un fonds dédié, le Red Team Fund, pour financer les frais d’utilisation des modèles d’IA.
