Bitcoin Red Team meldet fast 5.000 Ergebnisse in umfassender KI-gestützter Sicherheitsüberprüfung
Wichtige Erkenntnisse
- •Bitcoin Red Team, eine 16-köpfige Freiwilligengruppe, identifizierte innerhalb der ersten 29,8 Betriebsstunden 4.962 potenzielle Schwachstellen in 390 Bitcoin-bezogenen Projekten.
- •Von den insgesamt gefundenen Ergebnissen wurden 720 als hoch- oder kritisch eingestuft, obwohl bisher nur 21,4 % erfolgreich reproduziert werden konnten.
- •Die Gruppe kombinierte KI-Werkzeuge mit manueller Überprüfung, was einen branchenweiten Trend widerspiegelt, große Sprachmodelle zur Beschleunigung von Code-Audits einzusetzen, trotz bekannter Herausforderungen mit Fehlalarmen.
- •Die Sicherheitsüberprüfungskampagne wurde kurz nach dem Coldcard-Hardware-Wallet-Hack gestartet, bei dem über 100 Millionen Dollar an Bitcoin von mindestens 15 verschiedenen Angreifern gestohlen wurden.
- •Der Coldcard-Vorfall verdeutlichte die anhaltenden Spannungen im Bitcoin-Ökosystem zwischen der Open-Source-Transparenz, die unabhängige Sicherheitsüberprüfungen ermöglicht, und der Geschwindigkeit, mit der Schwachstellen verantwortungsvoll behoben werden können.
Eine Freiwilligen-Sicherheitsgruppe von nur 16 Mitgliedern hat nach einer schnellen KI-gestützten Überprüfung von Projekten im gesamten Bitcoin-Ökosystem fast 5.000 potenzielle Schwachstellen gemeldet.
Die als Bitcoin Red Team bekannte Initiative umfasst Rob Hamilton, CEO von AnchorWatch, und den Bitcoin-Entwickler Calle sowie weitere Mitglieder. Die Gruppe kombiniert KI-Werkzeuge mit manueller Überprüfung, um Open-Source-Repositorien im Bitcoin-Umfeld auf Sicherheitslücken zu untersuchen. Dieser Ansatz spiegelt einen breiteren Trend in der Cybersicherheitsbranche wider, bei dem große Sprachmodelle zunehmend eingesetzt werden, um Code-Audits in einem Maßstab und Tempo zu beschleunigen, das für rein manuelle Überprüfungen unpraktikabel wäre – wobei automatisierte Scan-Tools jedoch auch dafür bekannt sind, erhebliche Fehlalarmraten zu erzeugen, die eine manuelle Sichtung erfordern.
„Im Ökosystem herrscht gerade viel Chaos. Wir verstehen absolut, dass viele Menschen derzeit mit Sicherheitsproblemen bombardiert werden", sagte Calle.
In einem Beitrag auf X am Mittwoch erklärte Calle: „Wir verzeichnen durchschnittlich etwa einen kritischen Exploit pro Stunde pro Person." (Quelle: Calle auf X)
Laut Calle identifizierten die Freiwilligen in den ersten 29,8 Stunden der Teamarbeit 4.962 potenzielle Probleme in 390 Projekten. Davon wurden bis zu 720 als hoch- oder kritisch eingestuft. Bisher konnten 21,4 % der Ergebnisse erfolgreich reproduziert werden. Die relativ niedrige Reproduktionsrate unterstreicht eine bekannte Herausforderung bei KI-gestützten und automatisierten Sicherheitsüberprüfungen: die Unterscheidung echter ausnutzbarer Schwachstellen von theoretischen oder weniger schwerwiegenden Problemen bei hohem Durchsatz.
Der Start der Bitcoin-Sicherheitsüberprüfungskampagne erfolgt kurz nach dem Coldcard-Hardware-Wallet-Hack, bei dem über 100 Millionen Dollar an Bitcoin gestohlen wurden. Ein separater Bericht von Galaxy deutete darauf hin, dass mindestens 15 Angreifer die Coldcard-Schwachstelle ausnutzten. Der Vorfall verdeutlichte die anhaltenden Spannungen im Bitcoin-Ökosystem zwischen Open-Source-Transparenz – die unabhängige Sicherheitsüberprüfungen ermöglicht – und der Geschwindigkeit, mit der Schwachstellen nach ihrer Identifizierung verantwortungsvoll behoben werden können.