Kimi K3币圈诊断：两周扫遍501个项目、1280个高危隐患
作者：克洛德，深潮 TechFlow原标题：Kimi K3 币圈诊断：两周扫遍 501 个比特币项目、1280 个高危隐患深潮导读：一支志愿者组成的「比特币红队」用月之暗面的 Kimi K3 在两周内扫了 501 个比特币开源项目，记录 7958 条发现，其中 1280 条被评为高危或严重。干这件事的之所以是中国模型，是因为 OpenAI 和 Anthropic 以安全为由拒绝了这些防守方。如果你的币放在某个多年没更新的钱包或节点软件里，这篇值得读完。8 月 13 日，比特币红队成员、Cashu 协议创始人 Calle 在 X 上总结了这场行动的阶段性结论，推文获得近 26 万次查看。他的原话很直白：「几十年的开源代码，和两周的 Kimi K3 撞在一起，结果就是所有东西都是破的，比特币在燃烧。」一切始于一个卷走 1 亿美元的钱包漏洞7 月 30 日，硬件钱包 Coldcard 被爆出固件缺陷：设备生成助记词时退回到一个可预测的软件流程，安全芯片只提供了 32 位熵，有效密钥空间只剩约 43 亿种可能。攻击者按图索骥，分多波抽干用户钱包，确认损失超过 1 亿美元，疑似总损失接近 1.3 亿美元。Bitcoin Magazine 罕见地发布了「立即转移资金」的紧急通告。这场灾难直接催生了比特币红队。Calle 和托管保险公司 AnchorWatch 的首席执行官 Rob Hamilton 牵头，数十名贡献者参与，非营利机构 OpenSats 报销了大部分算力开销，对几乎整个比特币开源生态做了一遍 AI 审计。两周扫完 501 个项目，但发现不等于漏洞到 8 月 8 日，这支队伍用上百小时扫完 501 个项目，记录 7958 条发现，1280 条被评为高危或严重。这些数字需要拆开看： 在第 108 小时的节点上，只有 24.7% 的发现被动态复现，29.4% 上报给了项目方，AI 审计会有误报和重复，人工核验仍在进行。但「水分论」挡不住最硬的那个案例。 支付软件 BTCPay Server 的官方发布记录显示，红队成员 Bruno Garcia 和 Ben Carman 报告的一个严重漏洞（双因素认证绕过）在被修复前已经遭真实利用，攻击者借此拿到节点的管理凭证，进而控制了关联的闪电网络钱包。BTCPay 连发两个安全版本，社区为受害者设立了追回悬赏，基金会另拨 0.21 枚比特币注入红队基金。维护者们用行动给这批发现投了信任票。美国模型在道歉，中国模型在找漏洞为什么主力是 Kimi K3 而不是 GPT 或 Claude？因为美国模型不接这活。 Rob Hamilton 自述，他完成全部身份验证后，用 OpenAI 的模型分析一个已公开披露的代码库，不到 20 分钟就被拒。 比特币核心贡献者 PortlandHODL 的对比在社区疯传：同一份代码，美国前沿模型的回答是「你说得对！」，中国开源模型直接找出 78 个严重漏洞。Hamilton 的吐槽更扎心：「我现在基本上是在求 Xi 别让我的软件被黑。」8 月 10 日，超过 70 家托管商、交易所、矿企和开发组织联名签署比特币政策研究所的公开信，要求前沿 AI 实验室为可信的防守方开放访问权限。Galaxy 研究主管 Alex Thorn 的联署留言写道：「美国人不该被迫依赖中国 AI 来保护自己。红队需要这些模型。」 不过也要给狂欢泼点冷水：英国 AI 安全研究所与美国 CAISI 的联合评测显示，Kimi K3 在漏洞开发测试上强于 GLM-5.2，但仍落后于美国最强闭源模型。防守方不是选最强的，...