Eine Basis-Sicherheitsinitiative namens Bitcoin Red Team hat einen schnellen Audit-Sprint abgeschlossen, bei dem approximately 390 Open-Source-Bitcoin-Projekte gescannt und 4.962 Sicherheitserkenntnisse erbracht wurden. Zu den Ergebnissen gehören 85 kritische und 635 hochkritische Schwachstellen, so das Team.

Die 30-stündige Aktion wurde von 16 Freiwilligen durchgeführt und als direkte Reaktion auf eine Firmware-Schwachstelle in Coldcard-Hardware-Wallets organisiert. Dieser Fehler befand sich im Zufallszahlengenerator des Geräts und soll Verluste von 70 Millionen bis 114 Millionen US-Dollar an gestohlenem Bitcoin verursacht haben. Die Schwachstelle bedeutete, dass die Komponente, die für die Erstellung privater Schlüssel zuständig ist, kompromittiert war, wodurch Angreifer diese Schlüssel potenziell vorhersagen konnten. Coldcard-Wallets werden häufig von Bitcoin-Nutzern verwendet, die eine Selbstverwahrung anstreben. Der Vorfall untermauerte seit langem bestehende Bedenken hinsichtlich der Hardwaresicherheit einzelner Anbieter in einem Ökosystem, in dem die Nutzer selbst die letzte Verteidigungslinie gegen Verluste darstellen.

Ursprung und Organisation

Das Ausmaß der Coldcard-Verluste zog die Aufmerksamkeit von Calle, einem bekannten Bitcoin-Entwickler, und Rob Hamilton, CEO von AnchorWatch, auf sich. Gemeinsam organisierten sie die Red-Team-Kampagne Ende Juli und Anfang August 2026, stellten Freiwillige zusammen und sicherten die Finanzierung durch OpenSats, einer Open-Source-Bitcoin-Förderorganisation. Die Gesamtausgaben für die Initiative überstiegen 40.000 US-Dollar.

KI-gestütztes Scannen

Das Team nutzte Open-Weight-KI-Modelle, um den Scan-Prozess zu beschleunigen. Das Toolkit umfasste Kimi K3, GPT Sol, Fable, Opus und GLM5.2, die jeweils über eine maßgeschneiderte Sicherheitsumgebung eingesetzt wurden, die speziell für die schnelle Entdeckung von Schwachstellen entwickelt wurde. Das Team gab an, die Sicherheitsumgebung als Open-Source veröffentlichen zu wollen, was ähnliche Community-gesteuerte Audits in anderen Open-Source-Ökosystemen über Bitcoin hinaus ermöglichen könnte.

Bei den 16 Freiwilligen, die während des etwa 30-stündigen Sprints arbeiteten, erzielte das Team durchschnittlich approximately 2.31 hochkritische oder kritische Funde pro Personenstunde.

Verifikation und verantwortungsvolle Offenlegung

Zum Zeitpunkt der Berichterstattung waren nur etwa 21,4 % der Ergebnisse unabhängig reproduziert worden. Das Team reichte seine Ergebnisse direkt bei den Projektbetreuern ein und etablierte damit eine Pipeline für verantwortungsvolle Offenlegung. Die relativ niedrige Reproduktionsrate in diesem Stadium spiegelt die inhärente Spannung zwischen Geschwindigkeit und Sicherheit beim Einsatz KI-gestützter Scans im großen Maßstab wider. Dies bedeutet, dass ein erheblicher Teil der gemeldeten Ergebnisse vor der Bestätigung als handlungsrelevante Schwachstellen weiterer manueller Validierung bedarf.

Der Coldcard-Exploit, der die Initiative ausgelöst hatte, verdeutlichte, wie ein einzelner Firmware-Fehler in einem Gerät, das als führende Lösung zur Selbstverwahrung vermarktet wird, zu erheblichen finanziellen Verlusten führen kann. Die Ergebnisse des Bitcoin Red Teams unterstreichen die Rolle Community-gesteuerter, KI-gestützter Sicherheitsaudits bei der Identifizierung von Schwachstellen im Open-Source-Bitcoin-Ökosystem. Gleichzeitig könnten die vom Team entwickelte Open-Source-Sicherheitsumgebung und die Offenlegungs-Pipeline als wiederverwendbares Modell für künftige koordinierte Sicherheitsbemühungen dienen.