Kurzfassung
- Cashu-Erfinder calle sagte, die Kampagne habe in den ersten 30 Stunden 85 kritische und 635 schwerwiegende Probleme protokolliert.
- Die Mitwirkenden fordern jeweils ihre eigenen Agenten auf, was laut der Gruppe eine breitere Streuung der Treffer erzeugt als eine einzelne Methode.
- Datenschutz- und Coinjoin-Projekte hatten mit 24% den höchsten Anteil schwerwiegender Befunde.
Eine Freiwilligengruppe, die sich selbst Bitcoin Red Team nennt, hat in etwa 30 Stunden 4.962 Sicherheitsbefunde in 390 Bitcoin-Projekten eingereicht und führt dabei eine von ihr als "groß angelegte Ökosystem-Überprüfung" bezeichnete Aktion durch, bei der KI-Agenten einen Großteil des Scannens übernehmen.
Der pseudonyme Entwickler calle, der das Bitcoin-ecash-Protokoll Cashu erstellt hat, veröffentlichte am Mittwoch den ersten Situationsbericht der Kampagne. Darin werden 85 Befunde als kritisch und 635 als hoch eingestuft, zusammen 14,5% des Korpus und durchschnittlich 1,85 schwerwiegende Probleme pro Projekt, eingereicht mit 166 Befunden pro Stunde. Er sagte, das Team sei auf 16 Personen angewachsen, die rund um die Uhr arbeiten; der Bericht verzeichnet 17 Mitwirkende, davon 14 Menschen und drei automatisierte.
Bitcoin Red Team Update: Wir sind auf 16 weltweit verteilte Personen angewachsen, die rund um die Uhr arbeiten
Wir führen eine groß angelegte Ökosystem-Sicherheitsprüfung über Bitcoin-Codebasen durch.
Nach 27,5 Stunden haben wir 4.962 Befunde in 390 Projekten eingereicht. 85 kritische und 635 schwerwiegende Probleme.
Wir sind bei… pic.twitter.com/iRCylprbY1
— calle (@callebtc) 5. August 2026
Ein Großteil der Arbeit ist noch manuell, "die KI an der Hand nehmen", schrieb calle, obwohl sich automatisierte Testumgebungen verbessern und 91% der Befunde über automatisierten Scan-Eingang kamen. Jeder seine eigene bevorzugte Überprüfungsmethode verwenden zu lassen, "hat sich als die effektivste Strategie erwiesen", sagte er, weil die Mitwirkenden ihre Agenten unterschiedlich auffordern und verschiedene Fehler aufdecken. Etwa 21% der Befunde wurden dynamisch mit Proof-of-Concept-Code reproduziert.
Die Schweregradverteilung variiert stark nach Kategorie. Datenschutz- und Coinjoin-Tools hatten mit 24% den höchsten Anteil an hohen oder kritischen Befunden, gefolgt von Swaps und Börsen mit 21% und Zahlungs- und Händler-Tools mit 17%. Kryptografische Bibliotheken und SDKs erzeugten das größte Rohvolumen mit 1.101 Befunden, aber nur 10% erreichten die hohe Schwelle.
Wartende werden überflutet
Bisher wurden nur bei 19 Projekten, also unter 5% der überprüften, Befunde nachgelagert offengelegt, und calle räumte ein, dass die Kampagne zu einem schwierigen Moment für die Wartenden beiträgt.
„Es tut uns aufrichtig leid, wenn unsere Berichte zu Ihrem bereits stressigen Tag noch zusätzlichen Stress hinzugefügt haben“, schrieb er, während er argumentierte, dass die Ergebnisse schnell veröffentlicht werden sollten, da die Projektinhaber am besten in der Lage sind, sie zu validieren, die Validierung mit KI jetzt nahezu kostenlos ist und jeder andere, der dieselben Tools verwendet, auf dieselben Fehler stoßen wird. Acht Befunde wurden als Fehlalarme zurückgezogen.
Der Coldcard-Hintergrund
Die Kampagne kommt zu einem Zeitpunkt, an dem die Sicherheitsannahmen von Bitcoin unter die Lupe genommen werden. Die Coldcard-Wallet von Coinkite verlor für Benutzer etwa 130 Millionen Dollar, nachdem ein Firmware-Build vom März 2021 Wallet-Seeds aus einem Software-Fallback statt aus dem Hardware-Zufallszahlengenerator des Geräts bezog, wodurch private Schlüssel erratbar wurden. In einer Nachbesprechung stellte das Unternehmen fest, dass es wahrscheinlich ist, dass „jemand KI verwendet hat, um frühere Versionen unserer Firmware zu überprüfen“.
Ledger-Technologiechef Charles Guillemet sagte Decrypt am Dienstag, dass der Vorfall zeigte, dass KI jetzt verwendet wird, um Schwachstellen in Krypto-Code „mit Maschinengeschwindigkeit“ zu identifizieren. Er fügte hinzu, dass „Open Source und überprüft nicht dasselbe sind“, und merkte an, dass der Coldcard-Fehler mehr als fünf Jahre lang im öffentlichen Code lag, bis ein Angreifer Berichten zufolge KI verwendete, um ihn zu finden. Die Verteidigung müsse nun mit der gleichen Geschwindigkeit wie die Angreifer arbeiten, argumentierte er – wie Gruppen wie das Bitcoin Red Team demonstrieren.
