Die AI Bitcoin-Sicherheitskampagne entdeckt fast 5.000 Software-Probleme in 390 Projekten

Eine koordinierte Bitcoin-Sicherheitskampagne deckte in etwa 30 Stunden nahezu 5.000 Softwareprobleme in Hunderten von Open-Source-Projekten auf. Die Aktion kombinierte menschliche Expertise mit Werkzeugen der künstlichen Intelligenz, um Schwachstellen in der Software zu identifizieren.

Die Initiative vereinte 16 Sicherheitsforscher unter der Leitung des Entwicklers Calle, unterstützt von OpenSats, OpenCode und Sponsoren für AI-Inferenz. Die Gruppe arbeitete gemeinsam an einer koordinierten Überprüfung, die Hunderte von Bitcoin-bezogenen Projekten umfasste.

Analyse der Ergebnisse

Das Team meldete während der Kampagne 4.962 Feststellungen in 390 Bitcoin-bezogenen Projekten. Insgesamt wurden 85 kritische und 635 schwerwiegende Probleme gezählt, sodass die Anzahl der schwerwiegendsten Berichte bei 720 lag.

Die Kampagne verlief in hohem Tempo und meldete im Durchschnitt etwa 166 Feststellungen pro Stunde während der Überprüfung. Den veröffentlichten Zahlen zufolge identifizierte das Team etwa 2,3 kritische oder schwerwiegende Probleme für jede Personstunde, die für die Softwareprüfung aufgewendet wurde.

Die Forscher erklärten, dass sich die Kampagne von einem klassischen Sicherheitsaudit unterschied, da menschliche Überprüfer die AI-Systeme während der Tests aktiv steuerten. Jeder Teilnehmer nutzte unterschiedliche Prompts und Methoden, wodurch Schwachstellen aufgedeckt wurden, die einem einzelnen Ansatz hätten entgehen können.

Das endgültige Ergebnis umfasste zudem Feststellungen, die ein Mitwirkender bereits vor dem offiziellen Beginn der Live-Kampagne gesammelt hatte. Nach deren Hinzuziehung verzeichneten Kryptobibliotheken und Software Development Kits mit 1.385 gemeldeten Problemen den größten Anteil an Feststellungen.

Was die Ergebnisse zeigten

Das Team gab an, dass etwa jede siebte gemeldete Feststellung in die Kategorien schwerwiegend oder kritisch fiel. Nur ein überprüftes Projekt beendete die Kampagne offenbar ohne festgestellte Probleme, was einen scherzhaften Kommentar von Bitcoin Core-Entwickler Matt Corallo hervorrief.

Die Forscher haben bereits damit begonnen, verifizierte kritische Feststellungen mitsamt unterstützenden Proof-of-Concept-Retest-Demonstrationen an die betroffenen Projektverantwortlichen zu senden. Viele Maintainer bestätigten die Berichte dem Vernehmen nach schnell, obwohl die Verarbeitung eines so großen Umfangs weiterhin eine erhebliche Herausforderung darstellt.

Die Kampagne findet zu einem Zeitpunkt statt, an dem der Software-Sicherheit von Bitcoin nach mehreren aktuellen Sicherheitsvorfällen im Ökosystem erhöhte Aufmerksamkeit geschenkt wird. Unabhängig davon verzeichnete Bitcoin am 31. Juli etwa 0,98 Millionen täglich aktive Adressen – der höchste Wert seit Dezember 2024. Der Anstieg erfolgte, nachdem Angreifer damit begonnen hatten, Wallets zu leeren, deren Seeds mit fehlerhafter Coldcard-Firmware generiert wurden.