Bitcoin Core hat seine Sicherheitsdisclosure-Richtlinie überarbeitet, um Fixes für Schwachstellen, die große Sprachmodelle mit minimalem Aufwand aufdecken können, schneller bereitzustellen und schafft damit die monatelangen Embargos ab, die solche Fehler zuvor trugen.

Die Maintainer mergten die Änderung an der Sicherheitsrichtlinie des Projekts am Donnerstag. Chaincode-Labs-Entwickler Antoine Poinsot, der den Vorschlag verfasst hatte, kündigte ihn noch am selben Tag in einer Nachricht an die Bitcoin Development Mailing List an.

„Wir haben kürzlich einen Anstieg der Meldungen zu Sicherheitslücken erlebt, die leicht (wieder-)entdeckt werden können“, schrieb Poinsot. „Das liegt vor allem daran, dass LLMs die Hürde für das Auffinden bestimmter Klassen von Problemen oder das Erkennen verdeckter Fixes drastisch senken.“

Die Überarbeitung macht die Auffindbarkeit – nicht mehr nur den Schweregrad – zu einem Faktor dafür, wie schnell die Software, die auf den meisten Bitcoin-Nodes läuft, einen öffentlichen Fix erhält.

So funktionierte die Richtlinie bisher

Nach dem bisherigen Rahmenwerk bewertete Bitcoin Core – die Software, die auf den meisten Nodes im Bitcoin-Netzwerk läuft – jede gemeldete Schwachstelle nach Schweregrad und passte den Zeitpunkt der Offenlegung entsprechend an. Schwachstellen mit niedrigem Schweregrad wurden zwei Wochen nach Veröffentlichung der nächsten Hauptversion öffentlich gemacht. Probleme mittleren und hohen Schweregrades blieben unter Embargo, bis zwei Wochen nach dem End-of-Life der zuletzt betroffenen Version vergangen waren – ein Zeitraum, der sich bis zu einem Jahr erstrecken konnte.

Die langen Fristen sollten Node-Betreibern, von denen viele nur langsam aktualisieren, Zeit geben, auf gepatchte Software umzusteigen, bevor Details öffentlich werden. In der Praxis bedeutete dieser Ansatz, dass Fixes für ältere gepflegte Versionen unveröffentlicht blieben und erst mit der nächsten Hauptversion erschienen.

Poinsot argumentierte, dass dieser Kompromiss bei leicht wiederentdeckbaren Fehlern versagt. „Die Embargo-Frist bringt wenig, verzögert aber die Verfügbarkeit eines gefixten Releases“, heißt es in der Richtlinie.

Was sich ändert

Im Rahmen der Triage kann Bitcoin Core eine Schwachstelle nun als „leicht auffindbar“ kennzeichnen – eine Kategorie, die die Richtlinie als Probleme definiert, die „mit minimalem Aufwand, etwa durch einen einfachen LLM-Prompt“, gefunden werden können. Die Einstufung steht auch für Schwachstellen offen, die auf andere Weise gefunden wurden.

Bei diesen Problemen wird das Projekt einen Fix auf jede gepflegte Hauptversion zurückportieren, so schnell wie möglich Punkt-Releases erstellen und gleichzeitig mit der gefixten Software ein Security Advisory mit einigen Details veröffentlichen. Poinsot räumte ein, dass solche Fixes weniger Testzeit haben werden, bevor sie die Nutzer erreichen. Für Betreiber älterer gepflegter Versionen bedeutet das dass Patches nun als Punkt-Releases ankommen statt auf die nächste Hauptversion zu warten, wobei Details im Moment des Fix-Releases veröffentlicht werden.

Schwachstellen außerhalb dieser Kategorie behalten den bestehenden schweregradbasierten Zeitplan. Kritische Fehler – solche, die Diebstahl von Coins auf Protokollebene, eine Aufblähung des Angebots oder eine dauerhafte Chain-Spaltung ermöglichen könnten – bleiben außerhalb der Standardrichtlinie und werden im Einzelfall behandelt.

Der Entwickler Antoine Riard hatte eine Option gefordert, einen Fix ohne Advisory auszuliefern und Details im Einzelfall zurückzuhalten. Poinsot lehnte ab und schrieb, dass die Warnung von Nutzern ohne Details „unnötig mehr Risiko schaffen“ könnte, indem sie eine überstürzte Migration unter Nutzern auslöst, die andernfalls nicht betroffen wären.

Ein Sommer KI-gestützter Meldungen

Die Änderung der Richtlinie folgt auf Monate erhöhten Drucks auf Bitcoins Open-Source-Projekte. Ende Juli ließ eine Freiwilligengruppe von 16 Entwicklern, bekannt als Bitcoin Red Team, KI-Modelle in rund einem Tag über 390 Bitcoin-Repositories laufen und verzeichnete 4.962 Funde, darunter 85 als kritisch eingestufte.

Wenige Tage später wurde eine BTCPay-Server-Schwachstelle, die die Gruppe privat gemeldet hatte, auf live betriebenen Merchant-Servern ausgenutzt und Lightning-Nodes geleert. Im August forderten die Core-Lightning-Entwickler Betreiber zum Upgrade oder Trennen auf, nachdem sich KI-generierte Meldungen an das Projekt als zutreffend erwiesen hatten.

Der Red-Team-Einsatz folgte auf einen Exploit einer Coldcard-Hardware-Wallet, bei dem Angreifer am 30. Juli 594 BTC in 25 Minuten abzogen. Die Verluste über vier Abzugsaktionen näherten sich 114 Millionen US-Dollar.

Wie oft das Label „leicht auffindbar“ vergeben wird – und wie schnell Fixes folgen – wird sich künftig in den Advisories und Punkt-Releases von Bitcoin Core zeigen.

Quelle: Bitcoin Magazine | Geschrieben von Micah Zimmerman