In den vergangenen Tagen haben Bitcoin-Inhaber, die alle empfohlenen Sicherheitsmaßnahmen befolgt hatten, dennoch ihre Gelder verloren. Sie kauften einen angesehenen Hardware-Signer, generierten offline einen Seed auf diesem Gerät – die Standard-BIP39-Methode zur Erstellung von Bitcoin-Schlüsseln, die 128 bis 256 Bits an Zufälligkeit kodieren soll – und vertrauten darauf, dass das Gerät die eine kritischste Funktion erfüllt, für die ein Signer existiert: eine Zahl zu erzeugen, die niemand sonst erraten kann.

Dem Coldcard-Hardware-Signer gelang dies nicht. Ein Preprocessor-Guard, der die falsche Bedingung überprüfte, leitete die Seed-Generierung unbemerkt an einen schwachen softwarebasierten Pseudozufallszahlengenerator – MicroPythons Yasmarang – weiter, anstatt die Hardware-Entropiequelle des Geräts zu nutzen. Bei bestimmten Coldcard-Modellen brach die effektive Entropie auf approximately 40 Bits ein – etwa eine Billion mögliche Seeds, ein Suchraum, der klein genug ist, um mit handelsüblicher Hardware enumeriert zu werden, und eine Reduktion von über 200 Bits gegenüber dem vorgesehenen Sicherheitsniveau. Die Schwachstelle wurde im März 2021 eingeführt und blieb über fünf Jahre lang in öffentlich lesbarer Firmware vorhanden.

Angreifer leerzählten 500 Adressen, bevor die Ursache verstanden wurde. Innerhalb weniger Tage erreichte die Zählung von Galaxy Research 4.585 Adressen und knapp 90 Millionen US-Dollar an Verlusten. Der Angriff ist zum Zeitpunkt dieses Artikels noch im Gange.

Coinkite, der Hersteller von Coldcard, geht von der Arbeitshypothese aus – die auf X breit geteilt wird –, dass der Angreifer KI einsetzte, um die öffentlich verfügbare Firmware nach der Schwachstelle zu durchsuchen. Ob KI in diesem konkreten Fall verwendet wurde oder nicht: Der nächste Angreifer wird sie mit ziemlicher Sicherheit einsetzen. Bemerkenswerterweise erkannte eine KI-gestützte Audit, die Wochen vor dem Diebstahl durchgeführt wurde, nichts – möglicherweise aufgrund der Fähigkeiten des Modells oder der spezifischen Konstruktion der Suche. Seit Beginn des Angriffs haben Forscher demonstriert, dass mehrere KI-Frontmodelle dieselbe Schwachstelle innerhalb von Minuten anhand eines einzigen Prompts lokalisieren können.

Der Code lag fünf Jahre lang für die menschliche Überprüfung offen, und kein Mensch entdeckte ihn.

Lizenzänderungen, die nichts veränderten

Coinkite hatte seine Firmware zuvor von einer Freie-Software-Lizenz auf Source-Available-Bedingungen umgestellt – genauer gesagt MIT mit einer Commons Clause –, nachdem Foundation Devices den Code in ein konkurrierendes Produkt integriert hatte. Unter den geänderten Bedingungen konnten Nutzer den Quellcode lesen, jedoch kein Geschäft darauf aufbauen.

Diese Änderung hatte keine Auswirkungen auf die Sicherheit. Die Schwachstelle befand sich in Code, den eine Maschine unabhängig von Lizenzbeschränkungen lesen konnte. Tatsächlich gelangte er in demselben Rewrite in die Codebasis, der die letzten Überreste des GPL-lizenzierten Codes entfernte. Die Lizenzänderung erhöhte nicht den Schutz; sie veränderte lediglich die Ökonomie des Auffindens der Schwachstelle.

Die Illusion von Closed Source

Im Zeitalter zunehmend fähiger KI ist alles, was vertrieben wird, lesbar – oder wird es bald sein. Wenn man einem Binary seine Symbole entfernt und durch einen Dekompiler laufen lässt, entsteht der Pseudo-C-Output, der jeden begrüßt, der je Ghidra geöffnet hat – eine weit verbreitete Reverse-Engineering-Suite, die ursprünglich von der NSA entwickelt wurde: namenlose Variablen, flacher Kontrollfluss, Funktionen mit Bezeichnungen wie FUN_00401a20. Für die meisten Menschen ist dieser Output unlesbar. Diese hohe Barriere für das menschliche Verständnis war die gesamte Sicherheitsprämie von „Closed Source“.

Ein kompiliertes Programm hat jedoch keine andere Wahl, als die Wahrheit zu sagen. Code, der verschlüsselt bleibt, kann nicht ausgeführt werden. Zum Zeitpunkt der Ausführung muss der Prozessor die tatsächlichen Anweisungen erhalten, sodass ein Programm der Maschine unabhängig von seiner Funktion eine vollständige und exakte Beschreibung darüber übergibt, wie sie auszuführen ist. Die Information ist vollständig im Maschinencode enthalten. Obfuscation kann sie nicht entfernen und wird es nie können.

Wenn das Lesen eines Binaries zu schwierig erscheint, als dass Maschinen es in naher Zukunft beherrschen könnten, sollte man bedenken, was sie bereits bei weitaus schwierigeren Problemen leisten. Das Lesen eines Binaries ist eine analytische Aufgabe: Jeder benötigte Fakt liegt vor, und die Arbeit besteht in der Extraktion. Mathematische Erfindung stellt hingegen eine völlig andere Schwierigkeitsstufe dar, da sie die Erschaffung eines Objekts verlangt, das niemand zuvor gesehen hat.

Um 02:19 UTC am 20. Juli veröffentlichte Levent Alpöge, ein Mathematiker, der mit Anthropics Claude Fable 5 arbeitete, ein Gegenbeispiel zu Kellers Jacobian-Vermutung – einem Problem, das seit 1939 offen war und bedeutsam genug, um auf Stephen Smale's Liste der Herausforderungen für das einundzwanzigste Jahrhundert zu stehen. Generationen von Mathematikern hatten es versucht. Die Widerlegung besteht aus drei Polynomen in drei Variablen. Lean verifizierte sie innerhalb von Stunden, und sie ist kurz genug, dass sie jeder in einem Computer-Algebra-System in etwa einer Minute bestätigen kann.

Die Jacobian-Vermutung fiel an einem einzigen Nachmittag, während der Fragesteller anscheinend das Finale der FIFA-Weltmeisterschaft verfolgte. Im Mai stürzte ein OpenAI-Modell die Erdős-Abstands-Vermutung, eine seit 1946 offene Frage. Ende Juli fiel eine 30 Jahre alte Graphentheorie-Vermutung nach vier Prompts. Zwischen diesen Meilensteinen lagen die Widerlegung der Jacobian-Vermutung und eine Reihe weiterer Ergebnisse, die Jahrzehnte überdauert hatten.

Setzt man dieses Tempo des Fortschritts neben die vergleichsweise bescheidene Aufgabe, bereits im Internet veröffentlichten Maschinencode zu lesen. Heutige Modelle verarbeiten Quellcode und Dekompiler-Output besser als rohe Bytes, sodass ein vollständig geschlossenes Binary nur noch einen schmalen Schutzrand behält. Dieser Rand fungiert als Kosten-Bremsschwelle und erodiert im selben Tempo, das in allen anderen Bereichen sichtbar wird. Sicherheit auf die Dauerhaftigkeit dieses Schutzes zu setzen, bedeutet, gegen eine Uhr zu wetten, die nur schneller wird.

Das leisere Opfer: Handelsgeheimnisse

Dieselbe KI-Fähigkeit, die eine Entropie-Schwachstelle findet, kann auch proprietäre Methoden lesen. Dies ist das leisere Opfer, und es betrifft Unternehmen, die sich nie dem Einfluss von Open-Source-Dynamiken ausgesetzt glaubten. Handelsgeheimnisse in ausgelieferter Software waren immer nur Verschleierung im feinen Anzug.

Das Recht hat dies anerkannt, solange es Handelsgeheimnisrecht gibt. Reverse Engineering eines Produkts, das man rechtmäßig besitzt, ist zulässig, und daher überlebt ein Geheimnis nur, solange dieses Reverse Engineering teuer bleibt. Wenn die Kosten für die Extraktion auf den Preis eines Abonnements und eines Prompts sinken, hört das im an Kunden ausgelieferten Code verkörperte Geheimnis auf, eines zu sein. Proprietäre Algorithmen, undokumentierte Formate, in Binaries eingebettete Wettbewerbsvorteile – all das wird für jeden lesbar, der sich dafür interessiert, in einem Zeitrahmen, der zunehmend in Minuten gemessen wird.

Open Source ist keine Garantie

Nichts davon macht Open Source zwangsläufig sicher. Heartbleed versteckte sich zwei Jahre lang in der am weitesten verbreiteten TLS-Bibliothek der Welt, denn Sichtbarkeit ohne finanzierte Aufmerksamkeit findet nichts. Die xz-Hintertür zeigte, dass das offene Beitragsmodell selbst eine Angriffsfläche ist – eine, die ein geduldiger Angreifer mit einer freundlichen Persona und zwei Jahren legitimer wirkender Commits durchschreiten kann.

Offenheit diente einst als Schild, doch das tut sie nicht mehr. Was sie bietet, sind Prüfer, die den Code untersuchen dürfen, Builds, die unabhängig reproduziert und verifiziert werden können, eine Ausstiegsstrategie, wenn ein Anbieter stirbt oder den Kurs ändert, und das Eingeständnis, dass all dies unabhängig von persönlichen Vorlieben geschehen wird.

Der Vorteil des Verteidigers

Wir müssen nun davon ausgehen, dass jede Zeile ausgelieferten Codes von jemandem mit böswilligen Absichten gelesen wird, denn das wird sie. Der Verteidiger besitzt einen strukturellen Vorteil, den der Angreifer nie haben wird: Zeit. Entwickler können dieselben Frontmodelle auf ihren eigenen Code anwenden, bevor er veröffentlicht wird – in der Zeitspanne zwischen Commit und Auslieferung –, während der Angreifer auf ein Binary wartet, das noch nicht existiert.

Builds sollten reproduzierbar gemacht werden – das heißt, jeder sollte denselben Quellcode kompilieren und verifizieren können, dass das resultierende Binary bytegenau mit dem ausgelieferten übereinstimmt –, sodass jedes Binary auf Quellcode zurückgeführt werden kann, der unabhängig überprüfbar ist. Systeme sollten so entworfen werden, dass sie im Fehlerfall geschlossen bleiben, und der vertrauenswürdige Kern sollte klein genug gehalten werden, dass eine einzelne Schwachstelle nicht alles kompromittieren kann.

Für diejenigen, die speziell Bitcoin halten, ist die Lektion, die Coldcard in Echtzeit erteilt, klar: Man sollte die Entropie besitzen, die man sich nicht leisten kann erraten zu lassen, das Secure Element minimal und hinter einer veröffentlichten Schnittstelle halten und Schlüssel über unabhängige Implementierungen verteilen – sodass weder ein einzelnes Gerät noch der Fehler eines einzelnen Anbieters die Gesamtheit des Risikos ausmacht.

Dauerhafte Konsequenzen

Für Bitcoin sind die Konsequenzen in einer Weise unerbittlich, wie es in anderen Bereichen nicht der Fall ist, da allein die Kenntnis der privaten Schlüssel den vollständigen Besitz der Gelder gewährt. Die Entropie-Schwachstelle hat dauerhafte Narben hinterlassen. Das Patchen des Generators tut nichts für die Seeds, die er bereits erzeugt hat; ein schwacher Schlüsselraum bleibt für immer leerzählbar, und die Offenlegung übergibt dem Angreifer das Rezept.

Dieses Muster wurde bereits zuvor beobachtet. Die Milk-Sad-Schwachstelle im libbitcoin-Explorer-Tool bx erzeugte private Schlüssel aus einem 32-Bit-Wert, und Angreifer leerzählten die erzeugten Wallets, bevor die Schwachstelle jemals öffentlich bekannt gegeben wurde. Angreifer halten ihren eigenen Zeitplan, eingeladen oder nicht. Für Geld, das nach dem Ausgeben nicht zurückgefordert werden kann, ist „irgendwann auffindbar“ ein Synonym für „irgendwann weg“.

Der Standard, den Bitcoin bereits gesetzt hat

Bitcoin verließ sich nie auf Verschleierung. Das Protokoll ist offen, seine Regeln sind von jedem überprüfbar, und seine Sicherheit beruht nicht auf Geheimnissen, sondern auf Mathematik und Anreizen, die in voller öffentlicher Sicht Bestand haben. Die Hardware und Software, die darum herum entwickelt werden, verdienen denselben Standard, denn die Alternative ist nicht mehr tragbar.

Die Wahl stand nie zwischen offen und geschlossen. Sie stand zwischen diszipliniert und entblößt.

Die weiterreichende Lektion aus der Coldcard-Situation ist, dass Closed-Source-Software wie ein Seed ist, der von einem defekten Coldcard erzeugt wurde: Sie mag solide wirken, aber sie fundamentiert auf Sand. Jeder kann den Code lesen. Die einzig offene Frage ist, ob Entwickler diese Tatsache freiwillig anerkennen – oder ob sie und ihre Nutzer sie auf die Weise lernen müssen, wie es die Nutzer von Coldcard taten, eine leergezählte Adresse nach der anderen.

*Dies ist ein Gastbeitrag von Colin Crossman, einem Content Producer bei Fedi. Die geäußerten Meinungen sind ausschließlich seine eigenen und spiegeln nicht zwangsläufig die von BTC Inc oder Bitcoin Magazine wider. Dieser Beitrag erschien zuerst auf Bitcoin Magazine.