Das Bitcoin Red Team hat eine groß angelegte Sicherheitsüberprüfung von 501 Open-Source-Bitcoin-Projekten abgeschlossen und dabei 7.958 Feststellungen erarbeitet, darunter 1.280 mit der Einstufung hoch oder kritisch. Die Initiative nutzte KI, um die Code-Überprüfung in den Bereichen Wallets, Lightning-Network-Software und zentrale Bitcoin-Infrastruktur drastisch zu beschleunigen. Dies verdeutlicht, wie schnell Sicherheitsteams mittlerweile potenzielle Probleme in Software aufdecken können, die realen Geldern und Zahlungsströmen zugrunde liegt.

Ein Team von 25 Entwicklern investierte 108 Stunden in die koordinierte Überprüfung und kombinierte manuelle Analysen mit automatisierten Test-Frameworks und KI-Modellen. Das Projekt stützte sich heavily auf Kimi K3 von Moonshot AI sowie auf weitere Modelle, wobei OpenSats die Rechenkosten über sein spezielles Bitcoin-Red-Team-Programm finanzierte.

Die 7.958 Einträge sollten nicht als 7.958 unabhängig bestätigte Schwachstellen verstanden werden. Maintainer und Forscher müssen die KI-generierten Ergebnisse reproduzieren, feststellen, ob ausnutzbare Angriffspfade existieren, und die tatsächliche Schwere bewerten, bevor Patches veröffentlicht werden. Die Überprüfung ist daher am besten als eine priorisierte Sicherheits-Warteschlange denn als endgültige Schwachstellenanzahl zu verstehen.

Maintainer validieren kritische Ergebnisse

Der Bitcoin-Entwickler Calle berichtete, dass Projekt-Maintainer bereits zahlreiche kritische und hochgradige Berichte aus der Überprüfung validiert haben. Die Kampagne wuchs rasch: von 4.962 Feststellungen in 390 Projekten am 5. August auf knapp 8.000 in 501 Repositories innerhalb weniger Tage.

Die Dringlichkeit der Arbeit verstärkte sich nach den mit Coldcard verbundenen Bitcoin-Diebstählen, die 130 Millionen Dollar überstiegen. Sie zeigten, wie ein in Open-Source-Firmware verborgener Fehler jahrelang unentdeckt bleiben kann, bevor Angreifer anfällige Wallet-Seeds ausnutzen.

Calle wies darauf hin, dass nicht gewartete Repositories eine besondere Herausforderung darstellen, da KI ausnutzbare Schwachstellen aufdecken kann, ohne dass ein aktives Entwicklungsteam zur Untersuchung oder Behebung zur Verfügung steht. Diese Dynamik gilt über Bitcoin hinaus – ein Risiko, das zuvor bereits deutlich wurde, als Coinbase-CEO Brian Armstrong argumentierte, dass KI die Softwaresicherheit stärken und gleichzeitig die Kosten für das Auffinden von Schwachstellen senken würde.

BTCPay Server schließt ausgenutzte Lightning-Lücke

Die Überprüfung hat bereits mit einem aktiven Sicherheitsvorfall zusammengewirkt. BTCPay Server schloss in Version 2.4.2 eine kritische Schwachstelle, die es einem unauthentifizierten Remote-Angreifer ermöglichte, LND-Admin-Macaroon-Anmeldedaten zu erlangen und potenziell die Kontrolle über verbundene Lightning-Wallets zu übernehmen.

Angreifer nutzten die Schwachstelle vor dem Patch aus und stahlen Gelder betroffener Nutzer. BTCPay stellte anschließend 0,21 BTC für Craig Raw und weitere 0,21 BTC für das Bitcoin Red Team für verantwortungsvolle Offenlegung und Analyse zur Verfügung und führte gleichzeitig strengere Code-Scanning- und Sicherheitsüberprüfungsverfahren ein. Nutzern, die BTCPay Server mit LND in einer Version vor 2.4.2 betreiben, wurde angewiesen, sofort zu aktualisieren und alle betroffenen Anmeldedaten zu rotieren.

Coinbase und BitGo schließen sich Aufruf für Frontier-KI-Zugang an

Mehr als 40 Bitcoin- und Digital-Asset-Organisationen haben den Offenen Brief „Defenders Need the Frontier" unterzeichnet und große KI-Labore aufgefordert, qualifizierten Open-Source-Sicherheitsforschern kontrollierten Zugang zu ihren fortschrittlichsten Cybersicherheitsmodellen zu gewähren.

Unter den Unterzeichnern sind Coinbase, Block, BitGo, Strategy, MARA, Galaxy, Trezor, Blockstream, Anchorage Digital, Brink, Chaincode Labs und OpenSats. Die Koalition fordert frühzeitigen Modellzugang, ausreichende Rechenkapazitäten, sichere Forschungsumgebungen und direkte Offenlegungskanäle zu den Sicherheitsteams der KI-Labore.

OpenSats betreibt mittlerweile einen speziellen Fonds, der KI-Rechenkosten erstattet und Forscher vergütet, die Schwachstellen in kritischer Bitcoin-Software verantwortungsvoll offenlegen. Gleichzeitig bleibt BTCPay Server 2.4.2 die erforderliche korrigierte Version für die ausgenutzte LND-Anmelde-Schwachstelle.