Eine freiwillige Bitcoin-Sicherheitsinitiative hat in den ersten 29,8 Stunden ihrer KI-gestützten Code-Reviews 4.962 potenzielle Sicherheitsprobleme in 390 Bitcoin-bezogenen Projekten identifiziert, wobei 720 als hoch oder kritisch eingestuft wurden.
Zusammenfassung
- Bitcoin Red Team hat 4.962 potenzielle Sicherheitsprobleme in 390 Bitcoin-Projekten identifiziert.
- Die Freiwilligengruppe gab an, dass 720 Befunde als hoch oder kritisch eingestuft wurden.
- Mehr als ein Fünftel der gemeldeten Probleme wurde bereits durch Verifikation reproduziert.
- Die Review-Kampagne wurde Tage nach den Coldcard-Wallet-Angriffen gestartet, die einen Firmware-Fehler offenlegten.
- Das Team gab an, bereits mehrere kritische Schwachstellen an betroffene Projekte gemeldet zu haben.
Laut Bitcoin-Entwickler Calle hat das Bitcoin Red Team nach den jüngsten Coldcard-Wallet-Angriffen eine koordinierte Sicherheitsüberprüfung gestartet, die Bitcoin-Bibliotheken, Wallets, Infrastruktursoftware und andere Open-Source-Projekte abdeckt.
Zu den Freiwilligen gehören AnchorWatch-CEO Rob Hamilton und andere Bitcoin-Mitwirkende, die KI-gestützte Tools zusammen mit manueller Verifikation einsetzen, um Software-Schwachstellen zu identifizieren.
In einem Beitrag auf X sagte Calle, dass die Gruppe „im Durchschnitt etwa 1 kritischen Exploit pro Stunde pro Person" findet und bereits innerhalb der letzten 12 Stunden kritische Schwachstellen an mehrere Projekte gemeldet hat. Er beschrieb die Sicherheitslage außerdem als „extrem schlecht".
Die Kampagne kommt weniger als eine Woche, nachdem Angreifer einen Fehler in der verwundbaren Coldcard-Hardware-Wallet-Firmware ausgenutzt haben, ein Vorfall, der Entwickler und Forscher dazu veranlasst hat, die Überprüfung von Bitcoin-Software zu intensivieren.
Bitcoin Red Team hat die Überprüfungen auf Bitcoin-Projekte ausgeweitet
Laut von Calle geteilten Daten hat die Initiative automatisierte und manuelle Überprüfungen in 390 Repositories abgeschlossen und dabei 4.962 potenzielle Probleme identifiziert. Davon wurden 720 als Befunde mit hoher oder kritischer Schwere eingestuft.
Das Team fügte hinzu, dass 21,4 % der gemeldeten Probleme bereits reproduziert wurden, was darauf hindeutet, dass ein Teil der ursprünglichen KI-generierten Befunde unabhängig verifiziert wurde.
Anstatt sich auf eine einzelne Anwendung zu konzentrieren, erstreckt sich die Review-Kampagne über kryptografische Bibliotheken, Wallet-Software, Infrastrukturkomponenten und andere Projekte, die Teil des Bitcoin-Ökosystems sind.
Calle sagte, dass die Arbeit auf mehreren speziell für das Vorhaben entwickelten Test-Harnesses basiert. Er gab außerdem bekannt, dass die Kampagne täglich etwa 10.000 US-Dollar an Rechenkosten verbraucht, wobei OpenSats die Ausgaben übernimmt. Laut seinem Beitrag hat Kimi Moonshot KI-Konten und Zugang zu seinem Kimi-K3-Modell zur Unterstützung der Überprüfungen bereitgestellt.
Die Gruppe hat außerdem Community-Mitglieder gebeten, Rechenkonten oder digitale Token beizusteuern, um die Initiative aufrechtzuerhalten.
Coldcard-Exploit hat die Bitcoin-Sicherheitsbemühungen intensiviert
Die Überprüfungsaktion folgt auf einen der größten bekannten Wallet-Sicherheitsvorfälle, der Bitcoin-Nutzer in den letzten Jahren betraf.
Wie zuvor von crypto.news berichtet, hat Galaxy Research bestätigt, dass Angreifer 1.596 BTC von etwa 7.300 Adressen in drei bestätigten Angriffswellen gestohlen haben, und gleichzeitig 14 kleinere Vorfälle identifiziert, die mit demselben Coldcard-Seed-Generierungsfehler zusammenhängen.
Das Forschungsunternehmen hat separat eine mutmaßliche vierte koordinierte Welle identifiziert, die die Gesamtverluste auf etwa 2.055 BTC erhöhen könnte, obwohl es diese Adressen noch nicht in seine bestätigte Zählung aufgenommen hat, da die Bestätigung weiterer Opfer noch aussteht.
Eine frühere Blockchain-Analyse von Galaxy schätzte, dass die mutmaßliche vierte Welle 448,7 BTC umfasste, die von 709 mutmaßlichen Opferadressen bewegt wurden, obwohl das Unternehmen betonte, dass eine Blockchain-Analyse allein nicht schlüssig jedes Opfer identifizieren oder beweisen kann, ob ein einzelner Betreiber jeden Diebstahl durchgeführt hat.
Ermittler haben außerdem festgestellt, dass etwa 90 % des gestohlenen Bitcoins unberührt geblieben sind. In separaten On-Chain-Aktivitäten, die diese Woche gemeldet wurden, beobachteten Analysten, wie ein anderer Angreifer begann, 64 BTC durch einen Bitcoin-Mixer zu leiten, während der größte bekannte Angreifer weiterhin 1.159 BTC über sieben Adressen hält, ohne die Gelder zu transferieren.
Coldcard-Schwachstelle auf Firmware-Fehler von 2021 zurückgeführt
Laut Coinkite entstand die Coldcard-Schwachstelle während einer Firmware-Änderung, die im März 2021 bei der Integration einer neuen kryptografischen Bibliothek eingeführt wurde.
Anstatt Wallet-Seeds mit dem vorgesehenen Hardware-Zufallszahlengenerator zu erzeugen, verließen sich anfällige Firmware-Versionen bei der Seed-Erstellung auf einen deterministischen Pseudozufallsgenerator, der von MicroPython bereitgestellt wurde.
Das Bitcoin-Engineering- und Sicherheitsteam von Block kam nach der Überprüfung der Firmware unabhängig zu demselben Schluss. Obwohl Block angab, keine empirischen Tests auf jedem betroffenen Gerät durchgeführt zu haben, kam es zu dem Schluss, dass anfällige Firmware bei der Erstellung von Wallet-Seeds den deterministischen Fallback anstelle des STM32-Hardware-Zufallszahlengenerators aufrief.
Coinkite schätzt, dass betroffene Mk2- und Mk3-Geräte ungefähr 40 Bit effektive Entropie erzeugten, während anfällige Mk4-, Mk5- und Coldcard-Q-Geräte ungefähr 72 Bit anstelle der vorgesehenen 128 Bit produzierten.
Seitdem wurden Notfall-Firmware-Updates für alle betroffenen Produkte veröffentlicht. Das Unternehmen hat auch gewarnt, dass die Installation der gepatchten Firmware Wallets, die mit anfälligen Versionen erstellt wurden, nicht absichert. Benutzer müssen auf aktualisierten Geräten völlig neue Seed-Phrasen generieren und ihre Bitcoins auf Adressen übertragen, die aus diesen neuen Seeds abgeleitet sind.
Wallets, die mit mindestens 50 privaten Würfelwürfen erstellt wurden, gelten nicht als anfällig für dieses spezifische Problem der Zufallszahlengenerierung allein, obwohl Coinkite weiterhin eine Migration empfiehlt.
Bitcoin-Entwickler melden weiterhin Schwachstellen
Während die Coldcard-Untersuchung aktiv bleibt, erklärte Bitcoin Red Team, dass es weiterhin neu identifizierte Schwachstellen an betroffene Softwareprojekte meldet, während die Überprüfungen fortschreiten.
Laut Calle wurden mehrere kritische Probleme in den letzten 12 Stunden privat an Projektbetreuer weitergegeben, anstatt öffentlich veröffentlicht zu werden. Die Gruppe hat die betroffenen Projekte nicht identifiziert, während Entwickler an Korrekturen arbeiten.
Die Freiwilligenkampagne kombiniert KI-generierte Ergebnisse mit menschlicher Überprüfung, bevor Probleme gemeldet werden, und das Team sagte, dass die Reproduktion gemeldeter Schwachstellen weiterhin Teil seines Verifizierungsprozesses ist. Von den bisher fast 5.000 potenziellen Befunden wurde etwas mehr als ein Fünftel bereits reproduziert, während die Überprüfungen in weiteren Bitcoin-Repositories fortgesetzt werden.
