Quarkslab 完成了對比特幣核心的首次公開第三方安全審計

網絡安全公司 夸克平板 宣布已完成首次公開第三方安全審計 比特幣核心 這項評估由…資助 邊緣 並由開源技術改進基金協調（ OSTIF Quarkslab 自 2015 年以來一直與 OSTIF 合作，並自 2018 年以來一直進行與區塊鏈相關的安全審計，最初是對 Monero 的 Bulletproofs 實作進行審查。

在此次合作中，Quarkslab 對 Bitcoin Core 進行了詳盡的安全評估，旨在幫助開發者和社群提升生態系統的安全性。該評估結合了靜態分析和動態測試，全面展現了系統的安全態勢，評估了現有的測試方法，並提出了新的解決方案。

Bitcoin Core 是比特幣網路的參考實現，支援價值數兆美元的資產，並包含全節點用戶端、圖形用戶介面 (GUI)、挖礦功能和嵌入式錢包。自 2009 年 8 月中本聰首次發布以來，它經歷了廣泛的開發，在 16 年間累積了超過 46,000 次代碼提交。它使用 C 和 C++ 編寫，由數十位活躍的貢獻者維護，其中許多貢獻者獲得了 Brink 和 Chaincode Labs 等組織的資助，並構成了比特幣去中心化基礎設施的基礎。雖然協議本身很少更新，但程式碼庫卻在不斷改進和模組化。由於運行該軟體的節點數量龐大，任何缺陷都可能對系統造成影響，因此，全面的第三方審計對於 Bitcoin Core 開發人員持續的安全工作至關重要。

此次審計工作從5月持續到9月，共耗時100人日。由於程式碼庫規模龐大，評估重點放在了點對點網路層，即比特幣網路的主要攻擊面。這包括記憶體池、節點和鏈管理，以及共識和策略驗證邏輯。

這項工作分為三個階段：首先是針對線程管理和交易驗證的人工程式碼審查；其次是使用現有比特幣工具和框架進行的動態測試；最後是採用之前很少或未曾應用於該程式碼庫的高級模糊測試方法。此次審計旨在識別潛在漏洞，並透過直接貢獻（例如提交拉取請求和開發新的模糊測試框架）以及探索強化程式碼庫和測試流程的新方法，支援社群加強整體安全性。

Quarkslab 審計：比特幣核心未發現重大問題，建議加強測試和模糊測試。

研究人員在審計過程中發現了兩項低嚴重性問題和十三項資訊建議，根據報告，這些問題和建議均不構成任何安全風險。 比特幣核心 漏洞分類。大部分工作集中在加強 Bitcoin Core 的測試框架上，利用內部模糊測試工具和專業知識。這包括為區塊連接和鏈重組創建新的模糊測試框架，這些框架測試了先前未測試過的程式碼路徑，並落實了增強線程安全註解和提高整體程式碼可讀性的建議。

此次合作也促使 Bitcoin Core 的測試基礎設施得到多項改進，包括擴大測試語料庫以提高覆蓋率、開發 Docker 映像以方便進行整合模糊測試活動、開發基於比特幣追蹤點的實驗性非回歸測試工具，以及探索各種模糊測試方法，例如結構化模糊測試和差異化模糊測試。

本次評估重點在於點對點元件以及對共識或協定可用性影響最大的攻擊場景。雖然未檢測到重大問題，但對現有模糊測試工具進行了改進，並引入了新的工具以覆蓋鏈重組等未測試場景。此外，還探索了整合模糊測試和差分模糊測試等替代測試方法，這些方法有望提升整體測試策略和專案韌性。特別是，Brink 正在開發的快照模糊測試方法 Fuzzamoto 2 被認為是一種很有前景的發現更複雜漏洞的途徑。

Quarkslab 對 Brink 和 Chaincode Labs 的工程師們在整個審計過程中提供的持續支持表示感謝。評估結果凸顯了 Bitcoin Core 強大的架構、可靠性和成熟度。 Quarkslab 強調，審查如此複雜且設計精良的軟體是一次非常寶貴的經歷，並希望他們的發現能進一步增強該專案。