Web3: Das Bitcoin-Red-Team erfasste nach dem Scannen mit Kimi K3 insgesamt 7.958 Probleme

Das Bitcoin-Open-Source-Ökosystem durchläuft derzeit schnellere Sicherheitsüberprüfungszyklen. Das Bitcoin Red Team berichtet, dass nach etwa 108 Stunden Prüfung von 501 Projekten insgesamt 7.958 Probleme erfasst wurden, davon wurden 1.280 als hochriskant oder schwerwiegend eingestuft. Diese Zahlen entsprechen jedoch nicht bestätigten, ausnutzbaren Schwachstellen; viele Ergebnisse müssen von Wartenden und Forschern noch weiter reproduziert und verifiziert werden.

Einige Ergebnisse wurden bereits reproduziert und gemeldet

Den veröffentlichten Daten zufolge wurden etwa 24,7 % der Probleme bereits durch eine Reproduzierbarkeit verifiziert, und 29,4 % wurden an die Projektwartenden übermittelt. Der an der Aktion beteiligte Pseudonym-Entwickler Calle erklärte, das Team habe den Großteil des Bitcoin-Open-Source-Ökosystems einer Basisprüfung unterzogen – Bereiche, in denen leicht Schwachstellen zu finden sind, wurden breitflächig überprüft.

Kernwerkzeug dieser Prüfungsrunde war Kimi K3 von Moonshot AI. Calle ist der Meinung, dass moderne Modelle bereits in der Lage sind, innerhalb kurzer Zeit Jahre angesammelten Open-Source-Code zu prüfen, was dazu führt, dass alternde Software einer intensiveren Sicherheitsanalyse unterzogen wird. Im Beitrag wird jedoch betont, dass dies nicht bedeute, dass Bitcoin Core oder alle Bitcoin-Projekte kompromittiert wurden.

Kimi K3 wird für großflächige Code-Audits eingesetzt

Unabhängige Tests zeigen, dass Kimi K3 über gewisse Fähigkeiten bei Aufgaben der Cybersicherheit verfügt. Eine gemeinsame Evaluierung des britischen AI Security Institute und CAISI aus den USA stellte fest, dass das Modell bei Tests zur Ausnutzung von Schwachstellen besser abschnitt als GLM-5.2, aber immer noch hinter den stärksten, nicht offenen Modellen aus den USA zurückbleibt. Kimi K3 erzielte bei ExploitBench 32 % und konnte bei 41 Proben keine willkürliche Codeausführung erreichen.

Zuvor hatte das Bitcoin Red Team in 390 Bitcoin-Projekten 4.962 potenzielle Probleme entdeckt, wovon 720 damals als hochriskant oder schwerwiegend galten. Die neuesten Statistiken zeigen, dass sowohl der Umfang als auch die Anzahl der erfassten Probleme im Vergleich zur ersten Runde deutlich zugenommen haben.

BTCPay Server hat eine schwerwiegende Schwachstelle behoben

Die aktuelle Aktion beschränkt sich mittlerweile nicht mehr nur auf automatische Scans. BTCPay Server bestätigte in einer offiziellen Mitteilung auf GitHub, dass entsprechend den Berichten von Bitcoin Red Team-Forscher Bruno Garcia, Ben Carman und unabhängigen Sicherheitsexperten eine schwerwiegende Schwachstelle behoben wurde. Version 2.4.2 schloss eine Lücke, die eine Umgehung der Zwei-Faktor-Authentifizierung bei Greenfield Basic Authentication ermöglichte – diese wurde bereits aktiv ausgenutzt.

Anschließend teilte BTCPay Server mit, dass Angreifer über betroffene Instanzen LND admin macaroon Credentials erlangen und so auf verbundene Lightning Network Wallets zugreifen konnten. Das Projekt bearbeitet weiterhin weitere, vom Bitcoin Red Team, Project Loupe, Magic Grants und unabhängigen Forschern eingereichte Berichte und verstärkt die eigenen Prüf- und Scanprozesse.

Diese Behebungen zeigen, dass einige der im Red-Team-Report erfassten Hochrisiko-Probleme von den Wartenden bestätigt und abgearbeitet wurden. Das belegt jedoch nicht, dass alle 7.958 Einträge zutreffend sind. Auch KI-gestützte Audits können weiterhin zu Fehlalarmen, doppelten Meldungen oder einer nachträglichen Anpassung des Risikograds führen.

Reaktionsgeschwindigkeit der Wartenden wird wichtiger

Calle betont, dass mit KI die Kosten für das Auffinden und Testen von Schwachstellen deutlich sinken, was langfristig wenig gepflegte Projekte risikobehafteter macht. Die Geschwindigkeit, mit der Projekte auf Schwachstellenmeldungen reagieren, wird künftig immer direkter als Indikator für den Projektstatus herangezogen. In Zukunft könnten Wartende kontinuierlich eigene KI-gestützte Audit-Prozesse laufen lassen müssen, anstatt nur gelegentliche externe Prüfungen zu erwarten.

Auch das Bitcoin-Ökosystem passt sich diesem Trend an. OpenSats hat bereits einen schnellen Red-Team-Förderkanal eingerichtet, teilweise um die LLM-Kosten der Forschenden zu subventionieren. Zudem fordern mehr als 40 Bitcoin- und Digital-Asset-Institutionen führende AI-Labore dazu auf, geprüften Verteidigern des Open Source-Bereichs kontrollierten Zugang zu aktuellen Modellen zu gewähren – inklusive sicherer Umgebungen, ausreichender Rechenleistung sowie direkter Kommunikation mit den AI-Sicherheitsteams.

Für gewöhnliche Nutzer bestehen die unmittelbarsten Risiken weiterhin vor allem bei Wallets, Lightning Network-Infrastruktur, Zahlungssoftware und älteren Softwarebibliotheken – nicht aber beim Bitcoin-Konsensprotokoll selbst.