Das Bitcoin Red Team hat binnen 27,5 Stunden gravierende Bitcoin Infrastruktur Schwachstellen in 390 Open-Source-Projekten aufgedeckt, 4.962 mögliche Befunde, 85 davon kritisch. Ausgelöst wurde die Prüfung durch den Coldcard-Exploit, der Nutzern bereits mehr als 88 Mio. US-Dollar gekostet hat.
Red Team offenbart kritische Schwachstellen
Das Bitcoin Red Team hat binnen 27,5 Stunden gravierende Bitcoin Infrastruktur Schwachstellen in 390 Open-Source-Projekten aufgedeckt. Nach Angaben von Entwickler Calle, der seit rund zwei Wochen im Team mitarbeitet, kamen dabei 4.962 mögliche Sicherheitsbefunde zusammen, 85 davon als kritisch und 635 als schwerwiegend eingestuft.
Ausgangspunkt der Prüfung war der Coldcard-RNG-Exploit, bei dem nach Angaben des Teams bereits mehr als 88 Mio. US-Dollar in Bitcoin über mindestens 15 Angreifergruppen abgeflossen sind. Als Reaktion durchsuchte das Red Team mehr als 150 Repositories aus dem Bitcoin-Ökosystem nach weiteren Bitcoin Infrastruktur Schwachstellen, mehr als ein Dutzend wurden bereits vertraulich an die betroffenen Projekte gemeldet.
Sicherheitsaudit enthüllt Systemrisiken
Finanziert wurde der Prüfsprint durch mehr als 40.000 US-Dollar an KI-Rechenkosten, getragen von der gemeinnützigen Organisation OpenSats, die Open-Source-Entwicklung rund um Bitcoin fördert. Das Team setzte mehrere KI-Modelle verschiedener Anbieter parallel ein, um Wallets, kryptografische Bibliotheken und Lightning-Software automatisiert zu prüfen, bevor menschliche Entwickler die Funde gegenprüften.
Rund ein Fünftel der gemeldeten Befunde galt zuletzt als reproduzierbar bestätigt. Der Großteil bleibt vorerst unbestätigter Erstbefund und liegt zur Prüfung bei den jeweiligen Maintainern der betroffenen Projekte.
Angriffsflächen im Bitcoin-Ökosystem
Besonders schlecht schnitt nach Angaben des Teams das Lightning-Netzwerk ab. Die Zahlungsschicht gilt als komplexer und fehleranfälliger als andere Teile der Infrastruktur, weil viele kleinere Projekte von einzelnen freiwilligen Maintainern abhängen. Diese Maintainer profitieren von der kostenlosen Prüfung, tragen im Gegenzug aber das Risiko, dass Schwachstellen bekannt werden, bevor ein Patch bereitsteht.
Eine zentrale Stelle, die für die Sicherheit der gesamten Bitcoin-Infrastruktur verantwortlich ist, gibt es nicht. Genau das ist Teil der dezentralen Struktur, die Bitcoin von einem einzelnen Ausfallpunkt unabhängig machen soll: Wer Bitcoin Infrastruktur Schwachstellen findet und offenlegt, übernimmt diese Aufgabe freiwillig und ohne offizielles Mandat.
Ob sich die 4.962 gemeldeten Befunde am Ende als reale Risiken bestätigen, zeigt sich erst mit den Patches der betroffenen Projekte. Offen bleibt vorerst, wie viele der als kritisch eingestuften Fälle tatsächlich ausnutzbar sind.
Dass die Prüfung außerhalb jeder Behörde und ohne zentrale Anweisung stattfindet, zeigt, wie Sicherheit in einem dezentralen Netzwerk organisiert wird: durch offene Beiträge einzelner Entwickler statt durch eine übergeordnete Kontrollinstanz.
Wir berichteten über eine weitere Bedrohung für die Bitcoin-Infrastruktur durch Quantencomputer.
