Eine Freiwilligengruppe, die sich selbst Bitcoin Red Team nennt, hat in etwa 30 Stunden 4.962 Sicherheitsergebnisse über 390 Bitcoin-Projekte hinweg eingereicht und dabei durchgeführt, was sie als „groß angelegte Ökosystem-Audit“ bezeichnet, die weitgehend von KI-Agenten gesteuert wird. Das Ausmaß übertrifft typische Sicherheitsüberprüfungen im Kryptowährungsbereich bei Weitem, die in der Regel von einem einzelnen Projekt bei Firmen wie Trail of Bits, Cure53 oder Halborn in Auftrag gegeben werden und auf bestimmte Codebasen über Wochen oder Monate begrenzt sind, anstatt Hunderte von Repositories an einem einzigen Tag zu erfassen.

Der pseudonyme Entwickler calle, Schöpfer des Bitcoin-Ecash-Protokolls Cashu, veröffentlichte am Mittwoch den ersten Lagebericht der Kampagne. Der Bericht stuft 85 Ergebnisse als kritisch und 635 als hochgradig schwerwiegend ein – zusammen 14,5 % des Gesamtkorpus. Das entspricht einem Durchschnitt von 1,85 ernsten Problemen pro Projekt, eingereicht mit einer Rate von 166 Ergebnissen pro Stunde. Calle sagte, das Team sei auf 16 Personen angewachsen, die rund um die Uhr arbeiten; der Bericht verzeichnet insgesamt 17 Mitwirkende: 14 menschliche und drei automatisierte.

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7 We're running a large-scale ecosystem security audit across bitcoin code bases. 27.5 hours in, we've filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues. We're at… pic.twitter.com/iRCylprbY1 — calle (@callebtc) August 5, 2026

Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7

We're running a large-scale ecosystem security audit across bitcoin code bases.

27.5 hours in, we've filed 4,962 findings across 390 projects.

85 critical and 635 high severity issues.

We're at… pic.twitter.com/iRCylprbY1

— calle (@callebtc) August 5, 2026

Ein Großteil der Arbeit erfolgt weiterhin manuell und erfordert „das Händchenhalten der KI“, schrieb calle, obwohl sich die automatisierten Abläufe verbesserten. Laut dem Bericht wurden 91 % der Ergebnisse über automatisierte Scan-Erfassung ermittelt. Calle merkte an, dass es sich „als die wirksamste Strategie erwiesen hat“, jedem Mitwirkenden zu erlauben, seine eigene bevorzugte Überprüfungsmethode zu verwenden, da die Mitwirkenden ihre Agenten unterschiedlich prompsten und unterschiedliche Fehler zutage förderten. Etwa 21 % der Ergebnisse wurden dynamisch mit Proof-of-Concept-Code reproduziert. KI-gestützte Codeanalyse ist in Softwareentwicklungs-Workflows zunehmend verbreitet, doch ihre systematische Anwendung über ein gesamtes Kryptowährungsökosystem hinweg – und das daraus resultierende Volumen an Offenlegungen – setzt einen Normdruck auf eine Praxis, die auf koordinierter, projektweiser verantwortungsvoller Offenlegung beruht.

Schwergradverteilung nach Kategorie

Die Schwergradverteilung variiert erheblich zwischen den Projektkategorien. Privacy- und Coinjoin-Tools wiesen den höchsten Anteil an hochgradig oder kritisch schwerwiegenden Ergebnissen mit 24 % auf, gefolgt von Swaps und Börsen mit 21 % sowie Zahlungs- und Merchant-Tools mit 17 %. Kryptografiebibliotheken und SDKs erzeugten das größte Rohvolumen mit 1.101 Ergebnissen, allerdings erreichten nur 10 % die Schwelle für hohen Schweregrad.

Maintainer unter Druck

Bisher wurden nur 19 Projekte – weniger als 5 % der überprüften – mit Ergebnissen上游 benachrichtigt. Calle räumte ein, dass die Kampagne eine ohnehin schwierige Phase für Projekt-Maintainer verschärft, von denen viele Codebasen mit kleinen Mitwirkendengruppen und begrenzten dedizierten Sicherheitsbudgets betreuen – ein strukturelles Problem, das in der Open-Source-Kryptowährungsinfrastruktur seit langem dokumentiert ist.

„Wir aufrichtig entschuldigen uns, falls unsere Berichte Ihrem ohnehin stressigen Tag zusätzliche Belastung hinzugefügt haben“, schrieb er. Er argumentierte, dass Ergebnisse schnell veröffentlicht werden sollten, da Projektverantwortliche am besten zur Validierung positioniert seien, die Validierung mit KI-Unterstützung nun nahezu kostenlos sei und jeder, der dieselben Werkzeuge einsetze, zu denselben Schlussfolgerungen gelangen werde. Acht Ergebnisse wurden als Fehlalarme zurückgezogen. Der Rückstand an nicht offengelegten Ergebnissen bei den verbleibenden 95 % der Projekte wirft praktische Fragen zu den Triage-Zeiträumen auf und ob Maintainer das Volumen bewältigen können, bevor Dritte dieselben Ergebnisse unabhängig reproduzieren.

Der Coldcard-Hintergrund

Die Kampagne fällt in eine Zeit, in der die Sicherheitsannahmen von Bitcoin unter verschärfter Beobachtung stehen. Coinkites Coldcard-Wallet führte zu approximately 130 Millionen US-Dollar an Nutzerverlusten, nachdem ein Firmware-Build vom März 2021 Wallet-Seeds aus einem Software-Fallback statt aus dem Hardware-Zufallszahlengenerator des Geräts generierte, wodurch private Schlüssel erratbar wurden. In einer Post-Mortem-Analyse stellte das Unternehmen fest, dass es wahrscheinlich sei, dass „jemand KI eingesetzt hat, um frühere Versionen unserer Firmware zu überprüfen.“

Ledgers Chief Technology Officer Charles Guillemet sagte Decrypt am Dienstag, der Vorfall habe gezeigt, dass KI nun eingesetzt werde, um Schwachstellen in Kryptowährungscode „mit Maschinengeschwindigkeit“ zu identifizieren. Er fügte hinzu, dass „Open Source und überprüft nicht dasselbe sind“, und wies darauf hin, dass die Coldcard-Schwachstelle mehr als fünf Jahre lang im öffentlichen Code verblieb, bis ein Angreifer Berichten zufolge KI einsetzte, um sie aufzudecken. Die Verteidigung, so sein Argument, müsse nun mit der Geschwindigkeit der Angreifer Schritt halten – wie Gruppen wie das Bitcoin Red Team demonstrieren.