In nur etwas mehr als einem Tag hat eine lose organisierte Gruppe freiwilliger Programmierer und ihrer KI-Assistenten etwas geschafft, was kein einzelnes Bitcoin-Unternehmen oder Entwicklerteam allein bewältigen konnte: Sie durchkämmten Hunderte von Open-Source-Bitcoin-Projekten und markierten fast 5.000 potenzielle Sicherheitsprobleme. Die unter dem Namen Bitcoin Red Team laufende Aktion hat sich zu einer der umfassendsten Bitcoin-Sicherheitsaudits entwickelt, die das Ökosystem je gesehen hat, und zwingt zu einer unangenehmen Diskussion darüber, wie exponiert die Werkzeuge, mit denen Menschen tatsächlich Bitcoin aufbewahren und bewegen, in Wirklichkeit sind.
Summary
Wichtigste Erkenntnisse
- Das Bitcoin Red Team reichte 4.962 Sicherheitsbefunde in 390 Bitcoin-Projekten in etwa 30 Stunden ein, ein Zeitraum, den einige Berichte mit 27,5 Stunden angeben.
- Von diesen Befunden wurden 85 als kritisch und 635 als schwerwiegend eingestuft, was zusammen 14,5 % der Gesamtzahl ausmacht.
- Das Team besteht aus 16 weltweit verteilten Personen plus drei automatisierten Agenten, wobei 91 % der Befunde durch automatisierte Scans aufgedeckt wurden.
- Privacy- und Coinjoin-Tools wiesen mit 24 % den höchsten Anteil schwerwiegender Probleme auf, während kryptografische Bibliotheken zwar die meisten Rohbefunde (1.101) erzeugten, aber nur eine niedrigere Quote von 10 % an schwerwiegenden Problemen hatten.
- Erst bei 19 Projekten wurden die Befunde bislang an die Maintainer upstream gemeldet.
Im Inneren des umfassenden Sicherheitsaudits des Bitcoin Red Teams
Dies ist ein von Freiwilligen durchgeführter Sprint, bei dem KI-Modelle gleichzeitig auf Hunderte von Bitcoin-Codebasen angesetzt wurden – etwas, das eine manuelle Codeprüfung in diesem Tempo niemals replizieren könnte. Das Bitcoin-eCash-Protokoll Cashu wurde vom pseudonymen Entwickler calle entwickelt, der das erste Status-Update der Kampagne veröffentlichte und sie als ein „groß angelegtes Ökosystem-Sicherheitsaudit“ über Bitcoin-Codebasen hinweg beschrieb.
Umfang und Größenordnung in unter 30 Stunden
Die nackten Zahlen sind schwer zu ignorieren. Das Team verzeichnete 4.962 Befunde in 390 Projekten in etwa 30 Stunden, so das eigene Update von calle, während CoinDesk und Crypto Briefing das Arbeitsfenster auf 27,5 Stunden bezifferten. Dieses Tempo entspricht je nach Zählweise zwischen 166 und 180 eingereichten Befunden pro Stunde. Crypto Briefing berichtete, dass der Sprint durch fast 40.000 US-Dollar an Finanzierung von OpenSats unterstützt wurde, einer Non-Profit-Organisation, die Open-Source-Bitcoin-Entwicklung fördert, während CoinDesk von Rechenkosten von fast 10.000 US-Dollar pro Tag berichtete, um die KI-Modelle rund um die Uhr laufen zu lassen.
Wer hinter dem Audit steht – und wie sie arbeiten
Calle sagte, das Team sei auf 16 weltweit verteilte Personen angewachsen, die in Schichten arbeiten, obwohl der Lagebericht selbst 17 Mitwirkende aufführt, 14 davon menschlich und drei automatisiert. Automatisierte Erfassung machte 91 % aller Befunde aus, aber calle betonte schnell, dass Menschen hinter den Kulissen immer noch sehr stark „die KI an die Hand nehmen“. Anstatt eine einheitliche Prüfmethode vorzugeben, ließ die Gruppe jeden Mitwirkenden seine eigenen Agenten nach Belieben prompten. Das, so argumentierte calle, „hat sich als die effektivste Strategie erwiesen“, da unterschiedliche Personen und unterschiedliche Prompts dazu neigen, unterschiedliche Bugs aufzudecken. Rund 21 % der Befunde wurden bereits dynamisch mit funktionierendem Proof-of-Concept-Code reproduziert, was den Behauptungen mehr Gewicht verleiht, anstatt sie als rein theoretische Markierungen stehen zu lassen.
Aufschlüsselung nach Schweregrad: Wo das eigentliche Risiko liegt
Nicht jedes markierte Problem ist ein Fünf-Alarm-Feuer, und die eigene Aufschlüsselung des Audits nach Schweregrad macht diesen Unterschied deutlich. Von den fast 5.000 Befunden qualifiziert sich nur ein relativ kleiner Teil als wirklich gefährlich, während der Großteil in den Bereich niedrigerer Priorität fällt.
Kritische und schwerwiegende Befunde in Zahlen
Von den Gesamtbefunden wurden 85 als kritisch und 635 als schwerwiegend eingestuft, was zusammen 14,5 % des gesamten Korpus ausmacht, oder durchschnittlich etwa 1,85 schwerwiegende Probleme pro geprüftem Projekt. CoinDesk formulierte das Tempo unverblümt und stellte fest, dass die Gruppe im Schnitt fast einen kritischen Bug pro Person und Stunde entdeckt. Acht Befunde wurden bereits als Fehlalarme zurückgezogen – ein Hinweis darauf, dass nicht jede automatisierte Markierung der genaueren Prüfung standhält.
Welche Bitcoin-Projektkategorien am stärksten exponiert sind
Die Schweregrade verteilten sich nicht gleichmäßig über das Ökosystem. Privacy- und Coinjoin-Tools wiesen mit 24 % den höchsten Anteil an hoch- oder kritisch eingestuften Befunden auf, vor Börsen und Swaps, die 21 % der Aktivität ausmachten, während Händlerlösungen und Zahlungsinfrastruktur für 17 % verantwortlich waren. SDKs und kryptografische Bibliotheken erzählten eine andere Geschichte: Sie erzeugten das größte Rohvolumen an Befunden, nämlich 1.101, aber nur 10 % davon überschritten die Schwelle zur hohen Schwere. Anders ausgedrückt: Privacy-fokussierte Software mag insgesamt weniger Bugs aufweisen, aber ein unverhältnismäßig großer Anteil der dort gefundenen Probleme ist besonders relevant.
Offenlegung unter Druck: Die Ethik des schnellen Handelns
Schnelle Offenlegung soll Nutzer schützen, setzt aber auch die Maintainer, die für die Behebung der Bugs verantwortlich sind, stark unter Druck. Bisher wurden nur bei 19 Projekten, also weniger als 5 % aller geprüften, die Befunde upstream gemeldet. Diese Lücke zwischen eingereichten und offengelegten Befunden ist der Bereich, in dem die größte Spannung der Kampagne liegt.
Calle erkannte die Belastung direkt an. „Es tut uns aufrichtig leid, wenn unsere Berichte zu Ihrem ohnehin schon stressigen Tag noch zusätzlichen Stress beigetragen haben“, schrieb er, während er gleichzeitig das Tempo der Offenlegung verteidigte. Seine Begründung: Projektverantwortliche sind am besten in der Lage, ihre eigenen Befunde zu validieren, KI hat diese Validierung nahezu kostenlos gemacht, und jeder andere, der ähnliche Tools einsetzt, würde früher oder später ohnehin auf dieselben Bugs stoßen. Crypto Briefing berichtete, dass die Gruppe bereits vor diesem Sprint Scans über rund 150 Repositories durchgeführt hatte, was zu mehr als einem Dutzend privater Offenlegungen führte, wobei kritische Probleme lokal reproduziert wurden, bevor Maintainer kontaktiert wurden – ein Ansatz der verantwortungsvollen Offenlegung, an dem das Team nach eigenen Angaben festhält, auch wenn der Umfang der Aktion im August stark zugenommen hat.
Warum das Timing kein Zufall ist: Der Coldcard-Hintergrund
Dieses Audit fand nicht im luftleeren Raum statt. Es folgt direkt auf einen realen Dämpfer für die Sicherheitsannahmen von Bitcoin. Coinkites Coldcard-Hardware-Wallet, die in der Bitcoin-Self-Custody-Kultur lange als eines der vertrauenswürdigeren Cold-Storage-Geräte galt, kostete Nutzer Schätzungen zufolge 130 Millionen US-Dollar, die nach einem Firmware-Release im März 2021 verloren gingen, das Wallet-Seeds über einen Software-Backup-Mechanismus statt über den Hardware-Zufallszahlengenerator des Geräts preisgab. Dieser Fehler machte private Schlüssel erratbar, anstatt sie kryptografisch sicher zu halten. In seiner Fehleranalyse merkte Coinkite an, es sei wahrscheinlich, dass „jemand KI eingesetzt hat, um frühere Versionen unserer Firmware zu überprüfen“ – ein Detail, das unterstreicht, wie schnell KI-gestützte Prüfungen sich von einer Nischenkuriosität zu einem Werkzeug entwickelt haben, das in der Lage ist, Schwachstellen in der Bitcoin-Infrastruktur sowohl zu finden als auch offenbar auszunutzen.
Vor diesem Hintergrund wird klar, warum der Sprint des Bitcoin Red Teams mehr Gewicht hat als ein routinemäßiges Bug-Bounty-Programm. Der Open-Source-Ethos, der die Bitcoin-Umgebung aufgebaut hat, bedeutete schon immer, dass die meisten Projekte – sofern sie nicht besonders prominent oder gut finanziert sind – so gut wie nie ein ernsthaftes Sicherheitsaudit erhalten. Dass sich Schwachstellen in Hunderten von Codebasen finden, heißt nicht, dass Gelder gestohlen wurden oder dass das Kernprotokoll von Bitcoin kompromittiert ist; das Audit richtete sich auf die Wallets, Bibliotheken und Anwendungen, mit denen Menschen mit Bitcoin interagieren, nicht auf das Netzwerk selbst. Doch die Kosten für die Behebung liegen nun bei den einzelnen Maintainern, von denen viele Freiwillige oder kleine, ohnehin schon stark ausgelastete Teams sind. Das Red Team hat signalisiert, dass es plant, die hinter dem Sprint stehenden Tools als Open Source zu veröffentlichen – ein Schritt, der die Art und Weise, wie die breitere Kryptoindustrie Sicherheitsaudits angeht, grundlegend verändern könnte, vorausgesetzt, die Maintainer können mit dem Schritt halten, was die Maschinen weiterhin finden.
FAQ
Was war der Umfang des Sicherheitsaudits des Bitcoin Red Teams?
Das Audit umfasste 390 Bitcoin-Projekte und verzeichnete 4.962 Sicherheitsbefunde in etwa 30 Stunden mithilfe KI-gestützter Scans, wobei einige Berichte das genaue Zeitfenster auf 27,5 Stunden beziffern.
Wie schwerwiegend waren die vom Bitcoin Red Team gefundenen Schwachstellen?
Es gab 85 kritische und 635 schwerwiegende Probleme, die 14,5 % der Gesamtbefunde ausmachten.
Welche Art von Projekten hatte die schwerwiegendsten Schwachstellen?
Privacy- und Coinjoin-Projekte wiesen mit 24 % den höchsten Anteil schwerwiegender Befunde auf, vor Swaps, Börsen und Zahlungstools.
Warum erhöht das Audit den Stress für Projekt-Maintainer?
Da Befunde schnell offengelegt werden, um eine rasche Validierung zu ermöglichen, hat das Tempo die Arbeitsbelastung der Maintainer in einem ohnehin schwierigen Moment erhöht – etwas, das der Kampagnenleiter calle öffentlich anerkannt und wofür er sich entschuldigt hat.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was war der Umfang des Sicherheitsaudits des Bitcoin Red Teams?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Das Audit umfasste 390 Bitcoin-Projekte und verzeichnete 4.962 Sicherheitsbefunde in etwa 30 Stunden mithilfe KI-gestützter Scans, wobei einige Berichte das genaue Zeitfenster auf 27,5 Stunden beziffern.“}},{„@type“:“Question“,“name“:“Wie schwerwiegend waren die vom Bitcoin Red Team gefundenen Schwachstellen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Es gab 85 kritische und 635 schwerwiegende Probleme, die 14,5 % der Gesamtbefunde ausmachten.“}},{„@type“:“Question“,“name“:“Welche Art von Projekten hatte die schwerwiegendsten Schwachstellen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Privacy- und Coinjoin-Projekte wiesen mit 24 % den höchsten Anteil schwerwiegender Befunde auf, vor Swaps, Börsen und Zahlungstools.“}},{„@type“:“Question“,“name“:“Warum erhöht das Audit den Stress für Projekt-Maintainer?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Da Befunde schnell offengelegt werden, um eine rasche Validierung zu ermöglichen, hat das Tempo die Arbeitsbelastung der Maintainer in einem ohnehin schwierigen Moment erhöht – etwas, das der Kampagnenleiter calle öffentlich anerkannt und wofür er sich entschuldigt hat.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
