Eine Bitcoin-Red-Team-Initiative, die auf Kimi K3 aufbaut – ein Frontier-Modell des in Peking ansässigen KI-Labors Moonshot AI –, hat eine umfassende Sicherheitsprüfung des Open-Source-Ökosystems von Bitcoin abgeschlossen und dabei Tausende potenzieller Schwachstellen in dem Software-Stack zutage gefördert, der das Netzwerk trägt.

Innerhalb von zwei Wochen katalogisierten die Forscher 7.958 Befunde in rund 390 Projekten, von denen 1.280 als hoch oder kritisch eingestuft wurden. Das Team beschrieb das Unterfangen als eine Kollision zwischen jahrzehntelang angesammeltem, menschlich geschriebenem Open-Source-Code und der Analysegeschwindigkeit eines modernen Frontier-KI-Modells, und merkte an, dass ein Großteil der niedrig hängenden Schwachstellenfläche inzwischen untersucht wurde.

Unabhängige Bewertungen durch das britische AI Security Institute und das US-amerikanische Center for AI Security Standards and Innovation (CAISI) – die staatlichen Institute, die Frontier-KI-Modelle evaluieren – haben die Relevanz des Modells für die Cybersicherheitsarbeit bestätigt, wobei sie anmerkten, dass es bei bestimmten Benchmarks zur Exploit-Entwicklung weiterhin hinter den stärksten geschlossenen US-Modellen zurückliegt.

Die Kampagne hat bereits konkret validierte Ergebnisse hervorgebracht. BTCPay Server, ein weit verbreiteter, selbst gehosteter Open-Source-Zahlungsprozessor, mit dem Händler Bitcoin ohne zwischengeschalteten Drittanbieter annehmen können, behob in Version 2.4.2 eine kritische Umgehung der Zwei-Faktor-Authentifizierung, nachdem Forscher die Schwachstelle offengelegt hatten, und bestätigte anschließend, dass Angreifer sie bereits ausgenutzt hatten, um Zugangsdaten von Lightning-Wallets zu extrahieren. Weitere koordinierte Releases folgten, während das Projekt zusätzliche Berichte mehrerer Forschungsgruppen bearbeitete.

Die Zahlen erfordern eine sorgfältige Interpretation

Die Zahlen verlangen gleichwohl nach Kontext. Zum Zeitpunkt der Berichterstattung waren rund ein Viertel der Gesamtprobleme dynamisch reproduziert und knapp unter 30 % an die Upstream-Maintainer übermittelt worden. Der Datensatz steht nicht für 7.958 bestätigte, ausnutzbare Schwachstellen: Automatisierte Scans können falsch-positive Ergebnisse und Duplikatberichte erzeugen, und vorläufige Schweregradeinstufungen verschieben sich bei der manuellen Untersuchung häufig.

Die Forscher betonten, dass sich die Prüfung gegen das breitere Ökosystem aus Wallets, Lightning-Infrastruktur, Zahlungsbibliotheken und angrenzenden Tools richtete und nicht gegen das Kern-Konsensprotokoll von Bitcoin selbst. Lightning, ein auf Bitcoin aufbauendes Zahlungsnetzwerk der zweiten Ebene, ergänzt eine Kanalverwaltungs- und Routing-Logik, die außerhalb der Konsensregeln des Basisprotokolls liegt. Schwachstellen traten insbesondere in älteren oder wenig geprüften Codebasen gehäuft auf; der Lightning-Netzwerk-Stack wurde als unverhältnismäßig komplex und exponiert gegenüber anderen Komponenten beschrieben. Die Verbreitung C-basierter Implementierungen wurde zudem als anhaltender struktureller Risikofaktor in den geprüften Projekten markiert – im Einklang mit einer in der Branche seit langem bestehenden Sorge: Fehler bei der Speichersicherheit in C-Code zählen zu den häufigsten Quellen kritischer Schwachstellen, eine Erkenntnis, die zur zunehmenden Verbreitung speichersicherer Sprachen wie Rust in sicherheitskritischer Software geführt hat.

Ein Teilnehmer der Initiative, der auf X unter dem Namen calle postet, beschrieb die Dynamik:

gained a ton of new insights working in bitcoin red team that i wish i could share without vague posting. but this is what i got anon. – we're experiencing a massive collision between decades of human open source slop against 2 weeks of kimi k3 (not good) – everything is…

— calle (@callebtc), August 13, 2026

Das Ökosystem rüstet sich im Wettlauf der Anpassung, während KI Sicherheitszeitzyklen neu definiert

Die Kampagne signalisiert einen übergeordneten Wendepunkt in der Open-Source-Cybersicherheit. Frontier-KI-Modelle haben die Kosten und den Zeitrahmen der Schwachstellensuche dramatisch verkürzt und ermöglichen es, jahrelang angesammelten Code binnen weniger Wochen zu prüfen. Diese Beschleunigung erzeugt akute Risiken für nicht mehr gepflegte Projekte, deren Legacy-Code nun einer erhöhten Exposition ausgesetzt ist, da offensive Fähigkeiten für eine breitere Palette von Akteuren zugänglich werden.

Die Organisatoren betonten, dass die Reaktionsgeschwindigkeit auf offengelegte Probleme sich als kritischer Indikator für die Projektgesundheit erwiesen hat, und rieten Entwicklungsteams, kontinuierliche KI-gestützte Audit-Pipelines aufzubauen, anstatt sich allein auf periodische externe Überprüfungen zu verlassen. Sie unterstrichen ferner die Bedeutung koordinierter Offenlegung – der etablierten Praxis, Schwachstellen privat an Maintainer zu melden und vor der Veröffentlichung Zeit für Korrekturen einzuräumen –, und wiesen darauf hin, dass Vertrauen zwischen Forschern und Maintainern für eine wirksame Sicherheitszusammenarbeit unverzichtbar bleibt.

Das Ökosystem mobilisiert Ressourcen, um eine sich vergrößernde Fähigkeitslücke zwischen Angreifern und Verteidigern zu verhindern. OpenSats, eine Non-Profit-Organisation, die freie und Open-Source-Entwicklung rund um Bitcoin finanziert, hat einen beschleunigten Förderweg eingerichtet, der Forscher für die Kosten großer Sprachmodelle entschädigen soll, wodurch die Hürde für dauerhafte KI-gestützte Sicherheitsarbeit sinkt. Darüber hinaus hat eine Koalition aus mehr als 40 Bitcoin- und Digital-Asset-Organisationen bei führenden KI-Laboren petitioniert, geprüften Open-Source-Verteidigern in sicheren Forschungsumgebungen kontrollierten Zugang zu Frontier-Modellen zu gewähren – einschließlich ausreichender Rechenleistung und direkter Kommunikationskanäle zu den KI-Sicherheitsteams. Die Koalition warnte, dass legitime Verteidiger ohne vergleichbare Werkzeuge ins Hintertreffen geraten könnten, während böswillige Akteure keinen solchen Zugangsbeschränkungen unterliegen.

BTCPay-Unterstützer haben sich ebenfalls an den Wiederherstellungsbemühungen beteiligt und der Bitcoin-Red-Team-Initiative Finanzierung zugesagt – ein Zeichen für das wachsende Bewusstsein, dass externe Sicherheitsüberprüfung ein dauerhafter und kein vorübergehender Bedarf des Ökosystems ist.

Für alltägliche Nutzer fällt das unmittelbare Fazit enger aus, als die Schlagzeilenzahlen nahelegen: Für das Basisprotokoll von Bitcoin wurde keine Kompromittierung nachgewiesen, doch die umgebende Software-Infrastruktur verlangt erhöhte Wachsamkeit, angefangen damit, Wallet- und Serversoftware auf dem aktuellen Stand zu halten. Da die automatisierte Suche weiter skaliert, verlagert sich der zentrale Engpass in der Kryptowährungssicherheit von der Fehlerfindung hin zu deren Verifizierung, Offenlegung und Behebung in einem Tempo, das mit der Geschwindigkeit moderner KI Schritt hält. Die konkreten Beobachtungsgrößen ergeben sich aus den eigenen Zahlen der Kampagne: wie viel der rund 70 % der bislang nicht upstream gemeldeten Befunde die Maintainer erreichen, ob die KI-Labore den geforderten Verteidigerzugang gewähren und wie schnell Projekte wie BTCPay Server weitere Offenlegungen in gepatchte Releases umsetzen.

Quelle: Metaverse Post