Bitcoin Red Team hat seine KI-gestützte Sicherheitsüberprüfung auf 501 Bitcoin-bezogene Open-Source-Projekte ausgeweitet und nach 108 Stunden Arbeit 7.958 Befunde in seiner neuesten detaillierten Zählung protokolliert.
Zusammenfassung
- Bitcoin Red Team hat 501 Projekte gescannt und nach 108 Stunden Überprüfungen 7.958 Befunde protokolliert.
- Forscher stuften 1.280 Befunde als hoch oder kritisch ein, aber viele müssen heute noch von Menschen verifiziert werden.
- Etwa 24,7 % der Befunde hatten reproduzierbare Beweise, während 29,4 % an die Projektbetreuer gemeldet wurden.
- Kimi K3 wurde zum primären KI-Arbeitspferd der Kampagne, während Forscher Bitcoin-Open-Source-Software umfassend testeten.
- BTCPay Server veröffentlichte Fixes, nachdem Bitcoin Red Team und unabhängige Forscher kürzlich Sicherheitslücken gemeldet hatten.
Calle, ein pseudonymer Bitcoin-Entwickler, der an der Aktion beteiligt ist, sagte am 13. August, dass das Team nun einen grundlegenden Scan fast des gesamten Bitcoin-Open-Source-Ökosystems abgeschlossen hat und dass ein Großteil der leichter zu findenden Schwachstellenoberfläche bereits untersucht wurde.
Die Schlagzeilenzahlen erfordern eine wichtige Unterscheidung. Die 7.958 Befunde stellen keine 7.958 bestätigten ausnutzbaren Schwachstellen dar. Das Team stufte 1.280 als hoch oder kritisch ein, während 24,7 % aller Befunde dynamisch reproduziert und 29,4 % nach 108 Stunden an die Upstream-Projekte gemeldet worden waren. Die Überprüfung durch die Betreuer und die menschliche Reproduktion bleiben Teil des Verifizierungsprozesses.
Kimi K3 ist zu einem Sicherheits-Multiplikator geworden
Calle sagte, dass zwei Wochen Arbeit mit Moonshot AIs Kimi K3 gezeigt haben, wie schnell moderne Modelle jahrelang angesammelten Open-Source-Code untersuchen können. Er beschrieb die Situation als eine „massive Kollision“ zwischen älterer Software und KI an der Spitze und fügte hinzu: „Alles ist kaputt, Bitcoin brennt.“ Diese Formulierung ist seine Charakterisierung und sollte nicht als Beweis dafür gelesen werden, dass Bitcoin Core oder jedes Bitcoin-Projekt kompromittiert ist.
Unabhängige Tests unterstützen den engeren Punkt, dass Kimi K3 eine bedeutende Cybersicherheitsfähigkeit hat. Eine gemeinsame Bewertung des britischen KI-Sicherheitsinstituts und des US-amerikanischen CAISI ergab, dass das Modell bei Exploit-Entwicklungstests besser abschnitt als GLM-5.2, aber hinter den stärksten US-geschlossenen Modellen zurückblieb. Kimi K3 erzielte 32 % bei ExploitBench und erreichte bei null von 41 Stichproben in diesem Test eine beliebige Codeausführung.
Die frühere Überprüfung von Bitcoin Red Team fand 4.962 potenzielle Probleme in 390 Bitcoin-Projekten, darunter 720, die damals als hoch oder kritisch eingestuft wurden. Die neuere Zählung zeigt, dass die Überprüfung nach dieser ersten Welle erheblich ausgeweitet wurde.
Betreuer validieren und patchen bereits Befunde
Die Kampagne ist über das automatisierte Scannen hinausgegangen. Die offizielle GitHub-Veröffentlichung von BTCPay Server würdigte die Bitcoin-Red-Team-Forscher Bruno Garcia und Ben Carman für die Meldung einer kritischen Schwachstelle, die bereits ausgenutzt wurde. Version 2.4.2 behob eine Umgehung der Zwei-Faktor-Authentifizierung, die Greenfield Basic Authentication betraf.
BTCPay bestätigte später, dass Angreifer LND-Admin-Macaroon-Anmeldeinformationen von betroffenen Installationen erhalten und damit verbundene Lightning-Wallets zugreifen konnten. Das Projekt gab an, zusätzliche Berichte von Bitcoin Red Team, Project Loupe, Magic Grants und unabhängigen Forschern zu verarbeiten und gleichzeitig seine Scan- und Überprüfungsprozesse zu stärken.
Am 14. August kündigte BTCPay einen weiteren sicherheitsorientierten Release-Kandidaten v2.4.3-rc4 an, der Schwachstellen behebt, die von diesen Gruppen gemeldet wurden. In verwandter Berichterstattung unterstützten BTCPay-Unterstützer eine Wiederbeschaffungsprämie nach dem früheren Exploit, und die Stiftung verpflichtete sich zu 0,21 BTC für den Bitcoin-Red-Team-Fonds.
Diese Fixes liefern konkrete Beweise dafür, dass Betreuer zumindest einige schwerwiegende Red-Team-Berichte validieren. Sie validieren nicht jeden Punkt im Datensatz mit 7.958 Befunden. KI-gestützte Audits können falsch positive Ergebnisse, doppelte Berichte und Schweregradeinschätzungen erzeugen, die sich nach manueller Untersuchung ändern, was die Verifizierung für die Interpretation der Zahlen zentral macht.
Bitcoin-Projekte stehen vor einem schnelleren Sicherheitszyklus
Calle argumentierte, dass nicht gewartete Projekte jetzt mit größerer Vorsicht behandelt werden sollten, da KI die Kosten für das Finden und Testen von Schwachstellen drastisch gesenkt hat. Er sagte auch, dass die Reaktionszeit ein nützlicher Indikator für die Gesundheit eines Projekts wird und dass Wartende zunehmend eigene kontinuierliche KI-Audit-Pipelines benötigen werden, anstatt gelegentlicher externer Überprüfungen. Dies sind Calle's Schlussfolgerungen aus der Kampagne und keine universellen Sicherheitsregeln.
Das breitere Ökosystem bewegt sich bereits in diese Richtung. OpenSats hat einen beschleunigten Red-Teaming-Förderweg geschaffen, der sich teilweise darauf konzentriert, Forscher für LLM-Kosten zu entschädigen. Mehr als 40 Bitcoin- und Digital-Asset-Organisationen haben führende KI-Labore gebeten, geprüften Open-Source-Verteidigern kontrollierten Zugang zu Spitzenmodellen zu gewähren.
Wie crypto.news berichtete, warnte die Branchenkoalition, dass Bitcoin-Entwickler ohne Zugang zu fortschrittlichen KI-Modellen hinter Angreifer zurückfallen könnten. Die Anfrage zielt nicht auf uneingeschränkten Zugang ab. Sie schlägt geprüfte Forscher, sichere Umgebungen, ausreichende Rechenleistung und direkte Kommunikationskanäle mit KI-Sicherheitsteams vor.
Die nächste Phase wird sich wahrscheinlich langsamer bewegen als der erste Durchlauf. Automatisierte Erkennung kann schnell skalieren, während Reproduktion, verantwortungsvolle Offenlegung, Patch-Entwicklung und Regressionstests mehr Zeit erfordern. Projekte, die Berichte erhalten, müssen feststellen, welche Befunde ausnutzbar sind, wie dringend Benutzer Updates benötigen und wann technische Details sicher öffentlich werden können.
Für Bitcoin-Benutzer ist die Kernaussage enger, als die größten Zahlen vermuten lassen. Das Red Team hat eine große Menge potenzieller Schwachstellen in Bitcoin-bezogener Software gemeldet, nicht den Beweis, dass das Basis-Konsensprotokoll von Bitcoin versagt hat. Die unmittelbare Sicherheitsbedenken konzentrieren sich auf Wallets, Lightning-Infrastruktur, Zahlungssoftware und Bibliotheken mit älterem oder wenig überprüftem Code.
