Bitcoin-Ökosystem unter Druck: Fast 5.000 Befunde entdeckt

Innerhalb von 27,5 Stunden meldete das ehrenamtliche Bitcoin Red Team 4.962 Sicherheitsbefunde in 390 Open-Source-Bitcoin-Projekten – 85 davon als kritisch eingestuft, 635 mit dem Schweregrad hoch. Ausgelöst wurde die Notfallprüfung durch den Coldcard-Hack, bei dem seit März 2021 ein Firmware-Fehler schlummerte und Verluste von über 116 Millionen US-Dollar sowie mehr als 1.800 BTC von über 5.200 Adressen verursachte.

Der Auslöser: Coldcard-Exploit als Weckruf

Der BTC-Entwickler Calle und Rob Hamilton, CEO des Selbstverwahrungs-Versicherers Anchorwatch, initiierten das Bitcoin Red Team, nachdem klar wurde, dass der Coldcard-Bug kein Einzelfall sein musste. Sechzehn Sicherheitsforscher kombinierten KI-gestützte Analyse mit manueller Prüfung – finanziert mit knapp 40.000 US-Dollar durch die gemeinnützige Organisation Opensats.

Rechnerisch kamen die Forscher auf durchschnittlich 2,31 Befunde mit hohem oder kritischem Schweregrad pro Person und Stunde. Calle bezeichnete den Sicherheitszustand im Ökosystem als „extrem schlecht“.

Wo sich die Risiken konzentrieren

Nicht jedes Projekt trägt das gleiche Risiko. Datenschutz- und CoinJoin-Tools – Software zur Verschleierung von Transaktionsspuren – machten mit 24 Prozent den höchsten Anteil an den kritischen Befunden aus, obwohl sie nur einen kleineren Teil der geprüften Projekte stellten.

Kryptografische Bibliotheken lieferten mit 1.101 Meldungen zwar die absolute Höchstzahl an Befunden, davon galten aber nur rund 10 Prozent als hochgradig schwerwiegend. Das deutet laut dem Team auf einen insgesamt ausgereifteren, wenn auch am intensivsten geprüften Code hin. Die eigentliche Gefahr bündelt sich damit bei Werkzeugen zur Erzeugung privater Schlüssel, zur Signierung und zu datenschutzkonformen Transaktionen – derselben Softwarekategorie, die auch den ursprünglichen Coldcard-Ausfall verursacht hatte.

Wer sich für die technischen Details eines vergleichbaren Vorfalls interessiert, findet in der Sicherheitslücke bei BTCPay Server und LND einen aktuellen Praxisfall aus der Zahlungsinfrastruktur.

Noch keine gesicherte Schwere

Wichtig für die Einordnung: Analysten, die das Audit in Echtzeit über den Account ItsBitcoinWorld auf X verfolgten, stellten fest, dass bislang nur etwa jeder fünfte Befund unabhängig reproduziert wurde. Ein Großteil der 4.962 Meldungen benötigt also noch Bestätigung, bevor Entwickler die tatsächliche Schwere einschätzen können – die Zahl allein ist damit kein direktes Maß für reales Risiko.

Kontext: Eine Community unter Druck

Der Zeitpunkt der Veröffentlichung fällt in eine Phase, in der die Selbstverwahrungs-Community bereits das Ausmaß der Coldcard-Verluste verarbeitet. Allein auf kanadische Nutzer entfielen rund 25 Prozent der gestohlenen Gelder, wie frühere Berichte von news.bitcoin.com zeigten. Wer sich für die rechtlichen und technischen Rückholmöglichkeiten interessiert, findet dazu Einordnungen im Beitrag zu Coldcard-Bitcoin-Rückholung und Expertenmeinungen.

Dass KI-Tools inzwischen auch außerhalb von Bitcoin zur Abwehr kritischer Angriffe eingesetzt werden, zeigt der Fall des XRP Ledger, der durch eine KI-Erkennung vor einer Katastrophe im Milliardenmaßstab bewahrt wurde – ein Trend, der sich nun offenbar auch im Bitcoin-Ökosystem etabliert.

Was als Nächstes ansteht

Das Bitcoin Red Team betont, die aktuelle Prüfung sei erst die erste Phase einer fortlaufenden Initiative. Als Nächstes muss der Rückstand an Befunden abgearbeitet, die tatsächliche Ausnutzbarkeit verifiziert und die verantwortungsvolle Offenlegung mit den betroffenen Projekten koordiniert werden, bevor weitere Details öffentlich werden. Für Anleger mit Selbstverwahrung bleibt die zentrale Botschaft nüchtern: Die Zahl der gemeldeten Schwachstellen ist hoch, ihre tatsächliche Gefährlichkeit aber erst zu einem Bruchteil bestätigt.

Auf Google News folgen

Jetzt abonnieren