KI-gestützte Codeanalyse hat Bitcoins Open-Source-Software zu einem schnelleren und billigeren Ziel für Angreifer gemacht, und eine spezialisierte Red-Team-Initiative organisiert sich nun, um diese Schwachstellen zuerst zu finden. Der Wandel stellt die KI-bezogene Sicherheit von Bitcoin-Software als operatives Problem und nicht als hypothetisches dar, da Sprachmodelle die Arbeit des Lesens und Prüfens der Codebasen verkürzen, die die Wallets, Nodes und Zahlungsrails des Netzwerks betreiben.

Warum KI das Bedrohungsmodell für Bitcoin-Software verändert

Bitcoin-Software ist Infrastruktur mit hohem Risiko. Der Kerncode von Bitcoin ist seit dem Start des Netzwerks im Jahr 2009 öffentlich einsehbar, und das Sicherheitsmodell stützt sich seit Langem auf die Open-Source-Annahme, dass breite öffentliche Prüfung Schwachstellen schneller aufdeckt, als Geheimhaltung sie verdeckt. Dieselben Clients, Bibliotheken und Zahlungsprozessoren, die Werte bewegen, sind Open Source und vollständig lesbar, was sie zu idealen Eingaben für automatisierte Analysen macht. Diese Offenheit war schon immer eine Sicherheitsstärke, bedeutet aber auch, dass ein Angreifer denselben Code in ein Modell einspeisen kann. Mit anderen Worten: Die Transparenz, die es jedem ermöglicht, den Stack zu prüfen, erlaubt auch jedem, ihn ins Visier zu nehmen.

Der zentrale Unterschied ist der Aufwand. Aufgaben, für die früher ein spezialisierter menschlicher Prüfer nötig war — unbekannten Code lesen, Datenflüsse nachverfolgen und Vermutungen darüber anstellen, wo eine Eingabe fehlerhaft behandelt werden könnte —, können nun teilweise an KI delegiert werden. Dadurch kann ein einzelner Akteur in kürzerer Zeit mehr von der Codebasis abdecken. Genau dieser Druck lastet laut Decrypt nun auf Bitcoins Maintainern.

Dies ist eine Sicherheitsgeschichte und keine allgemeine KI-Trendgeschichte, weil die Angriffsfläche konkret ist. Bereits reale Sicherheitswarnungen zeigen, wo das Risiko liegt: Die Sicherheitswarnung von BTCPay Server für Version 2.4.2 dokumentiert die Art von selbst gehosteter Zahlungssoftware, die direkt im Weg der Gelder liegt und sich für Patches auf einen kleinen Kreis von Maintainerinnen und Maintainer stützt. Diese knappe Maintainer-Kapazität ist nicht auf Bitcoin beschränkt: Die Schwachstelle von Log4j aus dem Jahr 2021 zeigte branchenweit, wie weit verbreiteter, von Freiwilligen betreuter Open-Source-Code im Zentrum kritischer Systeme stehen kann, ohne dass nennenswerte eigene Finanzierung dahintersteht.

Die Red-Team-Reaktion und was sie signalisiert

Die Gegenkraft ist organisierte adversarielle Prüfung. Die Aufgabe eines Red Teams besteht darin, Software so anzugreifen, wie es ein feindlicher Akteur tun würde, Schwächen offenzulegen, bevor sie in freier Wildbahn ausgenutzt werden, und diese Erkenntnisse dann an die Entwickler weiterzuleiten, die sie beheben können. Diese Weiterleitung folgt typischerweise der Praxis der koordinierten Offenlegung, bei der Forschende Schwachstellen vertraulich melden, damit Patches veröffentlicht werden können, bevor Details öffentlich werden. Anstatt darauf zu warten, dass eine Schwachstelle von selbst auftaucht, prüft das Team die Software proaktiv.

Diese Funktion wird nun direkt finanziert. OpenSats betreibt einen speziellen Bitcoin Red Team Fund, um Sicherheitsforscher zu unterstützen, die kritische Bitcoin-Infrastruktur untersuchen — ein Eingeständnis, dass proaktive Tests wie ein Programm ausgestattet werden müssen, anstatt Freiwilligen überlassen zu bleiben, die erst im Nachhinein reagieren. Die Organisation ist dafür ein naheliegender Ort: OpenSats finanziert bereits Bitcoin Core und andere Open-Source-Entwickler, sodass Zuschüsse für offensive Sicherheit ein bestehendes Modell erweitern, für die weniger sichtbare Ingenieurarbeit des Ökosystems zu bezahlen.

OpenSats begründete den Ansatz in seinem eigenen Beitrag zu dieser Initiative und beschrieb die Gruppe als First Responder für das Ökosystem, die in der Lage ist, bei einer ernsthaften Schwachstelle schnell zu reagieren. Das Signal für Entwickler und Maintainer ist strukturell: Da KI die Kosten senkt, mit denen Angreifer Fehler finden, brauchen Verteidiger eine feste Kapazität, um sie zuerst zu finden.

Nichts davon bedeutet, dass das Problem gelöst ist. Ein finanziertes Red Team verkleinert das Zeitfenster, in dem ein KI-beschleunigter Angreifer im Vorteil ist, schließt es aber nicht. Und dieselben Fragen zu Verwahrung und Infrastruktur, die Debatten wie die föderale Bitcoin-Verwahrungspolitik prägen, hängen weiterhin davon ab, ob die zugrunde liegende Software adversarialem Druck standhält.

Für den breiteren AI-Krypto-Stack ist die Richtung klar: Wenn modellgestützte Codeanalyse auf beiden Seiten zum Standardwerkzeug wird, hängt Sicherheitssymmetrie davon ab, dass Verteidiger dieselbe Automatisierung einsetzen wie Angreifer bereits, und davon, die menschlichen Forscher zu finanzieren, die sie lenken. Die kurzfristigen Indikatoren sind konkret statt abstrakt — die Taktung von Warnmeldungen wie der von BTCPay, die Reichweite der Förderungen des Red-Team-Funds über Wallets, Nodes und Zahlungsrails hinweg und ob KI-gestützte Prüfung für Maintainer so alltäglich wird wie für Angreifer.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und digitale-Asset-Märkte bergen erhebliche Risiken. Führen Sie vor Entscheidungen immer eigene Recherchen durch.