Bitcoin Magazine berichtet, dass die jüngste katastrophale Schwachstelle in Coldcard-Hardware-Wallets, die für mehr als $100 million ausgenutzt wurde, Mitglieder der Bitcoin-Community dazu veranlasst hat, die Bemühungen zu verstärken, ähnliche kritische Fehler in der im gesamten Sektor verwendeten Open-Source-Software zu verhindern.

PSA: Nutzer von Coldcard-Wallets, die ihre bitcoin nicht auf neue Seeds migriert haben, die in sicherer Firmware erzeugt wurden, sind weiterhin gefährdet. Es ist möglicherweise noch nicht zu spät zu handeln; siehe die entsprechende Warnung.

Angeführt von Calle, einem Software-Ingenieur, begeisterten Vibe-Coder und Erfinder der Android-Version von Bitchat, sowie Rob Hamilton, dem CEO von Anchorwatch, einem Unternehmen für Bitcoin-Selbstverwahrungs-Insurance, hat das Bitcoin Red Team nun eine Finanzierung gesichert und mehr als $40,000 in KI-Tokens ausgegeben, um über 390 Open-Source-Repositories im Bitcoin-Umfeld zu prüfen. Die Aktion zeigt, wie schnell Sicherheitsvorfälle in einem weit verbreiteten Produkt auf das breitere Ökosystem übergreifen können, insbesondere dort, wo Softwarebibliotheken und Tools in mehreren Projekten wiederverwendet werden.

Inoffiziell als das „Bitcoin Red Team“ bezeichnet, begleitet von Memes darüber, dass Rob Hamilton und Calle nun CEO und CTO von Bitcoin seien, sorgt das KI-gestützte Sicherheitsaudit branchenweit für Aufmerksamkeit. Nur wenige Tage nachdem anhaltende Diebstähle von bitcoin aus MK3+ Coldcards im Zusammenhang mit einem RNG-Fehler bekannt wurden, kündigte die Börse Boltz an, den Betrieb vorübergehend einzustellen, um mit KI-gestützten Hacking-Versuchen Schritt zu halten.

„Nach 27.5 Stunden haben wir 4,962 Findings über 390 Projekte hinweg gemeldet. 85 kritische und 635 schwerwiegende Probleme. Wir liegen bei 2.31 h+c Findings pro Person und Stunde“, sagte Calle im jüngsten Update zu den Bemühungen des Red Teams, die Cybersicherheit der Branche zu stärken.

Die Sicherheitsprüfung verwendet Modelle wie Kimi K3, GPT Sol, Fable, Opus und GLM5.2, die als einige der teuersten und modernsten Modelle am Markt beschrieben werden. Zunächst war der Zugriff auf OpenAI- und Anthropic-Modelle eingeschränkt, was zu einer stärkeren Abhängigkeit von chinesischen Open-Source-Modellen führte – ein Umstand, den viele in der Branche bedauerten und als mögliches Warnsignal für die US-amerikanische KI-Dominanz sahen. Als das Red-Team-Projekt seit dem Coldcard-Hack der vergangenen Woche an Einfluss gewann, wurden Verbindungen zu OpenAI hergestellt und bestätigt, wodurch die Gruppe Zugriff auf GPT Sol erhielt. Hamiltons Hinweis auf Fable in seinem Tweet vom August 4 deutet darauf hin, dass auch der Zugang zu Anthropic hergestellt wurde.

Die zuletzt auf mehr als $40,000 bezifferten Ausgaben wurden von OpenSats getragen, einer gemeinnützigen 501(c)(3)-Organisation, die Open-Source-Bitcoin-Entwicklungsprojekte finanziert. Das Bitcoin Red Team verfügt derzeit weder über eine Website noch über ein GitHub-Repository, auf das verwiesen werden könnte, besteht jedoch aus vielen Personen innerhalb der Bitcoin-Branche. Zu den öffentlich für ihre Unterstützung Gedankten gehören unter anderem danielabrozzoni, lylepratt, stutxo, benthecarman und thesimplekid.

Hamilton teilte mit, dass ein benutzerdefiniertes Harness erstellt wurde und sich schnell weiterentwickelt. Zwischenzeitlich bestand es aus 171,599 Codezeilen. Das Harness ist darauf ausgelegt, kritische Bitcoin-Softwarebibliotheken und andere stark belastete Code-Bereiche zu identifizieren und zu testen, Schwachstellen zu erkennen und zu dokumentieren, sie zu reproduzieren und die verifizierten Daten in nützlichen Berichten für eine verantwortungsvolle Offenlegung an Ingenieure der Branche aufzubereiten. Hamilton sagte außerdem, dass das Red Team beabsichtigt, das Harness als Open Source bereitzustellen, damit Bitcoin-Unternehmen es gegen ihren Closed-Source-Code einsetzen können.

Das Red Team kontaktiert aktiv relevante Open-Source-Projekte, in denen es kritische Schwachstellen entdeckt, was unter Ingenieuren für breite Beklommenheit sorgt, wenn sie direkte Nachrichten von Hamilton oder Calle erhalten, wie in verschiedenen humorvollen Screenshots zu sehen ist, die in sozialen Medien geteilt wurden. https://x.com/callebtc/status/2085035257477190080

Unter den wichtigsten öffentlich geteilten Erkenntnissen dieses KI-gestützten Sicherheitsvorhabens sagte Hamilton, dass Ingenieure mit spezifischer Fachkenntnis manchmal zu hochwertigen Ergebnissen des Harness beitragen können, das ansonsten zwar „merken“ könnte, dass etwas nicht stimmt, aber möglicherweise den Nischenkontext nicht kennt. Diese Erkenntnis unterstreicht die Bedeutung davon, menschliche Intelligenz und Erfahrung mit KI zusammenarbeiten zu lassen, um kritische Schwachstellen effizient zu identifizieren.

Hamilton beendete zudem eine mehrtägige Red-Team-Aktion nach dem Coldcard-Hack mit persönlichen Anmerkungen. Er sagte, die entdeckte Schwachstelle in den Zufallszahlengeneratoren von Coldcard und die anschließende Ausnutzung des Fehlers durch Hacker seien ein „spiritual attack“ auf Bitcoin und das Selbstverwahrungs-Ethos der Branche gewesen, „I mean that in the literal sense of the words“. Nachdem er über die Verluste vieler Bitcoin-Nutzer während dieses inzwischen historischen Hacks seine Trauer ausgedrückt hatte, schloss Hamilton seinen Tweet mit entschlossener Haltung: „While things are not easy right now. I have the highest conviction ever in my life that the idea and technology of Bitcoin is worth fighting for. To that end. There is no Bitcoin without self-custody. This is non-negotiable.“

Dieser Beitrag Bitcoin Red Team Finds 85 Critical Flaws Across 390 Open Source Repos After Coldcard Exploit erschien zuerst auf Bitcoin Magazine und wurde von Juan Galt verfasst.